htpasswd 생성기 — bcrypt, Apache MD5 (apr1) & Basic Auth

htpasswd 파일이란?

# Apache htpasswd CLI equivalents (apache2-utils / httpd-tools)

# bcrypt entry, printed to stdout (recommended; -B = bcrypt, -n = no file, -b = password on CLI)
htpasswd -Bbn admin 's3cret'
# → admin:$2y$10$N9qo8uLOickgx2ZMRZoMye...

# apr1 (Apache MD5) entry, portable for nginx — no apache2-utils needed
printf "admin:$(openssl passwd -apr1 's3cret')\n"
# → admin:$apr1$k3l4Hj9.$qN8...

# Append a user to an existing file from the shell
htpasswd -B /etc/apache2/.htpasswd alice

# Note: nginx delegates bcrypt to the system crypt(); on Alpine/musl or old
# glibc that fails — prefer apr1 for nginx to stay portable.

주요 기능

예시

admin:$2y$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy

admin:$apr1$kl3H9j2.$qN8vY7tLp2mZ0xW5cR4fK1

admin:{SHA}W6ph5Mm5Pz8GgiULbPgzG37mj9g=

Authorization: Basic YWRtaW46czNjcmV0

admin:$2y$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy
alice:$2y$10$3bQ8xY7tLp2mZ0xW5cR4fO9vK1jH6sD2nG8aQ5wE3rT7uI4oP1cm
bob:$apr1$mZ0xW5cR$4fK1jH6sD2nG8aQ5wE3rT2

사용 방법

1. 1

   서버 및 알고리즘 설정

   대상 서버(Apache, nginx, Docker, Caddy)를 선택하세요. 적합한 알고리즘이 자동으로 선택됩니다 — Apache/Docker/Caddy에는 bcrypt, 이식성 높은 nginx에는 apr1. 직접 변경하거나 bcrypt 비용을 조정할 수도 있습니다.

2. 2

   해시 생성

   사용자 이름과 비밀번호를 입력하거나(또는 랜덤 비밀번호 클릭) 생성 버튼을 클릭하세요. 해시는 새로운 랜덤 솔트로 로컬에서 계산됩니다. 언제든지 솔트를 재생성해 새 항목을 만들 수 있습니다.

3. 3

   항목 복사

   .htpasswd 파일용 user:hash 줄을 복사하거나, 셸용 echo >> 추가 명령어를 복사하거나, curl과 Postman용 Authorization: Basic 헤더를 복사하세요.

4. 4

   설정 배포

   생성된 설정 블록을 Apache .htaccess, nginx 서버 블록, Docker, Kubernetes 인그레스, Caddy, 또는 Traefik 설정에 붙여넣고, .htpasswd 파일 경로를 지정한 뒤 서버를 재시작하세요.

주요 활용 사례

Apache 디렉토리 보호

.htaccess 파일과 AuthUserFile 지시어를 사용해 HTTP Basic Auth로 폴더를 잠그세요. bcrypt 항목과 생성된 Apache 설정 블록을 사용하면 모든 경로에 로그인을 요구할 수 있습니다.

nginx auth_basic

auth_basic과 auth_basic_user_file로 location 또는 서버 블록을 보호하세요. apr1 형식을 사용하면 Alpine, Debian 등 다양한 베이스 이미지에서 안정적으로 동작합니다.

Docker Registry

프라이빗 Docker Registry는 bcrypt htpasswd 항목만 허용합니다. htpasswd -Bbn으로 $2y$ 줄을 생성하고, 레지스트리 컨테이너에 마운트한 뒤 docker login으로 인증하세요.

Kubernetes ingress-nginx

.htpasswd 파일로 basic-auth 시크릿을 만들고, nginx.ingress.kubernetes.io/auth-type과 auth-secret 어노테이션으로 인그레스 라우트를 보호하세요.

Caddy & Traefik

Caddy의 basic_auth 지시어와 Traefik의 basicauth 미들웨어는 모두 bcrypt 해시를 필요로 합니다. 생성된 항목을 Caddyfile이나 Traefik labels/dynamic config에 직접 붙여넣으세요.

curl & Postman Authorization 헤더

빠른 테스트를 위해 파일 없이 Authorization: Basic 헤더를 복사해 자격증명을 직접 전송하세요. curl -H 플래그나 Postman 요청에 붙여넣어 보호된 엔드포인트를 테스트할 수 있습니다.

기술 세부사항

bcrypt ($2y$)

조정 가능한 비용 인수를 가진 Blowfish 암호 기반의 적응형 솔트 해시입니다. 각 항목은 16바이트 랜덤 솔트와 비용을 내장하므로 동일한 비밀번호도 다른 해시를 생성합니다. 참고: bcrypt는 비밀번호를 72바이트에서 잘라냅니다 — 그 이상의 문자는 무시됩니다.

apr1 (Apache MD5)

Apache의 반복적 솔트 MD5 변형($apr1$ + 8자 솔트)입니다. 1,000번의 MD5 라운드를 실행하며 bcrypt의 적응형 비용보다 훨씬 약하지만, Apache와 nginx가 기본으로 구현하여 플랫폼과 베이스 이미지에서 가장 이식성 높은 형식입니다.

SHA-1 및 crypt

SHA-1 항목({SHA} + base64 다이제스트)은 솔트가 없어 동일한 비밀번호가 동일한 해시를 생성하고 레인보우 테이블에 취약합니다 — 레거시 호환성 목적으로만 포함됩니다. 전통적인 crypt (DES)는 더욱 약하고 비밀번호를 8자에서 무음으로 잘라냅니다.

솔트 및 반복

솔팅은 모든 해시를 고유하게 만들어 사전 계산된 (레인보우 테이블) 공격을 방지합니다. bcrypt는 설정 가능한 비용과 함께 128비트 랜덤 솔트를 사용하며, apr1은 1,000번의 고정 반복과 8자 솔트를 사용합니다. 솔트 재생성으로 동일한 비밀번호에 대한 다른 유효한 해시를 생성할 수 있습니다.

Base64 및 UTF-8 처리

비밀번호는 해시 전에 UTF-8 바이트로 인코딩되므로 비ASCII 문자가 일관되게 처리됩니다. Authorization: Basic 헤더는 원시 UTF-8 username:password 바이트의 base64이며, 서버가 수신 측에서 디코딩하는 것과 일치합니다.

주의사항 및 한계

생성된 해시는 로컬에서 계산되며 라이브 서버에서 검증되지 않습니다. 복사된 항목과 다운로드된 .htpasswd 파일은 평문 해시 형태로 클립보드와 디스크에 저장됩니다 — 비밀처럼 취급하고, 파일 권한을 제한하며, 운영 설정에 붙여넣은 후 클립보드를 지우세요.

모범 사례

지원되는 곳이라면 bcrypt를 우선 사용하세요

Apache, Docker, Caddy, Traefik에는 bcrypt ($2y$)를 사용하세요 — 솔트 기반, 적응형이며 apr1이나 SHA-1보다 훨씬 강력합니다. nginx에서 시스템 crypt()에 대한 bcrypt 의존성이 불안정할 때만 apr1을 사용하세요.

파일을 웹 루트 외부에 저장하세요

.htpasswd를 제공 디렉토리 외부에 보관하여 HTTP로 다운로드되지 않도록 하세요. chmod 640을 설정하고 웹 서버 사용자가 소유하도록 하여 서버는 읽을 수 있지만 다른 계정은 접근할 수 없게 하세요.

항상 HTTPS를 통해 제공하세요

Basic Auth는 모든 요청에 자격증명을 역방향 base64로 전송합니다. TLS 없이는 네트워크 경로의 누구나 비밀번호를 읽을 수 있습니다. 평문 HTTP에서는 절대 Basic Auth를 활성화하지 마세요 — 보호된 엔드포인트 앞에서 TLS를 종료하세요.

고유하고 강력한 비밀번호를 사용하세요

각 계정마다 서비스 간에 재사용하지 않는 고엔트로피 비밀번호를 가져야 합니다. 랜덤 비밀번호 생성기로 생성하고 직접 만드는 대신 비밀번호 관리자에 저장하세요.

자주 묻는 질문