Générateur .htpasswd

Générer des entrées .htpasswd avec hachage de mot de passe basé sur SHA1

Qu'est-ce que c'est et comment ça marche ?

Le fichier `.htpasswd` est une base de données de fichier plat utilisée par Apache HTTP Server (et Nginx) pour stocker les noms d'utilisateur et les mots de passe hachés pour l'authentification HTTP basique. Chaque ligne contient un nom d'utilisateur et un mot de passe haché séparés par deux-points.

Cet outil génère des entrées `.htpasswd` sans avoir besoin de l'utilitaire Apache `htpasswd` installé, supportant tous les formats de hachage courants. L'authentification HTTP basique n'est sécurisée qu'avec HTTPS.

Cas d'usage

• Auth de base Nginx : protéger un environnement de staging en générant un fichier `.htpasswd` et en configurant Nginx avec `auth_basic "Staging"; auth_basic_user_file /etc/nginx/.htpasswd;`.
• Protection de répertoire Apache : ajouter un fichier `.htpasswd` et un `.htaccess` avec `AuthType Basic`, `AuthUserFile` et `Require valid-user`.
• Protection d'endpoint API : utiliser l'auth HTTP basique comme couche de protection simple pour les API internes, combinée avec HTTPS et des restrictions IP.

Questions fréquentes

Quel format de hachage utiliser dans les fichiers .htpasswd ?

bcrypt (`$2y ) est l'option la plus sécurisée actuellement — coûteuse en calcul par conception. APR-MD5 (`$apr1 ) est largement supporté mais MD5 est maintenant assez rapide pour des attaques par force brute sur des mots de passe faibles. Le texte en clair n'est jamais approprié."}},{"@type":"Question","name":"Pourquoi l'auth HTTP basique n'est-elle sécurisée qu'avec HTTPS ?","acceptedAnswer":{"@type":"Answer","text":"L'auth HTTP basique envoie le mot de passe sous forme `Base64(utilisateur:mot_de_passe)`. Base64 n'est pas du chiffrement — trivial à inverser. Ne jamais utiliser l'auth HTTP basique sur HTTP en clair."}},{"@type":"Question","name":"Combien d'utilisateurs un fichier .htpasswd peut-il supporter ?","acceptedAnswer":{"@type":"Answer","text":"Le fichier `.htpasswd` est un format linéaire sans indexation. Apache lit tout le fichier séquentiellement à chaque demande d'authentification. Les performances se dégradent avec de nombreux utilisateurs."}},{"@type":"Question","name":"Quelle est la différence entre Apache .htpasswd et Nginx auth_basic ?","acceptedAnswer":{"@type":"Answer","text":"Nginx supporte le même format de fichier `.htpasswd` pour l'authentification `auth_basic`. Le format est identique — un fichier `.htpasswd` généré pour Apache fonctionne aussi avec Nginx."}}]}] ) est l'option la plus sécurisée actuellement — coûteuse en calcul par conception. APR-MD5 (`$apr1 ) est l'option la plus sécurisée actuellement — coûteuse en calcul par conception. APR-MD5 (`$apr1 ) est largement supporté mais MD5 est maintenant assez rapide pour des attaques par force brute sur des mots de passe faibles. Le texte en clair n'est jamais approprié."}},{"@type":"Question","name":"Pourquoi l'auth HTTP basique n'est-elle sécurisée qu'avec HTTPS ?","acceptedAnswer":{"@type":"Answer","text":"L'auth HTTP basique envoie le mot de passe sous forme `Base64(utilisateur:mot_de_passe)`. Base64 n'est pas du chiffrement — trivial à inverser. Ne jamais utiliser l'auth HTTP basique sur HTTP en clair."}},{"@type":"Question","name":"Combien d'utilisateurs un fichier .htpasswd peut-il supporter ?","acceptedAnswer":{"@type":"Answer","text":"Le fichier `.htpasswd` est un format linéaire sans indexation. Apache lit tout le fichier séquentiellement à chaque demande d'authentification. Les performances se dégradent avec de nombreux utilisateurs."}},{"@type":"Question","name":"Quelle est la différence entre Apache .htpasswd et Nginx auth_basic ?","acceptedAnswer":{"@type":"Answer","text":"Nginx supporte le même format de fichier `.htpasswd` pour l'authentification `auth_basic`. Le format est identique — un fichier `.htpasswd` généré pour Apache fonctionne aussi avec Nginx."}}]}] ) est largement supporté mais MD5 est maintenant assez rapide pour des attaques par force brute sur des mots de passe faibles. Le texte en clair n'est jamais approprié.

Pourquoi l'auth HTTP basique n'est-elle sécurisée qu'avec HTTPS ?

L'auth HTTP basique envoie le mot de passe sous forme `Base64(utilisateur:mot_de_passe)`. Base64 n'est pas du chiffrement — trivial à inverser. Ne jamais utiliser l'auth HTTP basique sur HTTP en clair.

Combien d'utilisateurs un fichier .htpasswd peut-il supporter ?

Le fichier `.htpasswd` est un format linéaire sans indexation. Apache lit tout le fichier séquentiellement à chaque demande d'authentification. Les performances se dégradent avec de nombreux utilisateurs.

Quelle est la différence entre Apache .htpasswd et Nginx auth_basic ?

Nginx supporte le même format de fichier `.htpasswd` pour l'authentification `auth_basic`. Le format est identique — un fichier `.htpasswd` généré pour Apache fonctionne aussi avec Nginx.

Développeur

Générateur UUID · Convertisseur de timestamp · Encodeur Base64 · Décodeur Base64 · Générateur de hash · Convertisseur de couleurs