htpasswd Генератор — bcrypt, Apache MD5 (apr1) и Basic Auth

Что такое файл htpasswd?

# Apache htpasswd CLI equivalents (apache2-utils / httpd-tools)

# bcrypt entry, printed to stdout (recommended; -B = bcrypt, -n = no file, -b = password on CLI)
htpasswd -Bbn admin 's3cret'
# → admin:$2y$10$N9qo8uLOickgx2ZMRZoMye...

# apr1 (Apache MD5) entry, portable for nginx — no apache2-utils needed
printf "admin:$(openssl passwd -apr1 's3cret')\n"
# → admin:$apr1$k3l4Hj9.$qN8...

# Append a user to an existing file from the shell
htpasswd -B /etc/apache2/.htpasswd alice

# Note: nginx delegates bcrypt to the system crypt(); on Alpine/musl or old
# glibc that fails — prefer apr1 for nginx to stay portable.

Ключевые возможности

Примеры

admin:$2y$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy

admin:$apr1$kl3H9j2.$qN8vY7tLp2mZ0xW5cR4fK1

admin:{SHA}W6ph5Mm5Pz8GgiULbPgzG37mj9g=

Authorization: Basic YWRtaW46czNjcmV0

admin:$2y$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy
alice:$2y$10$3bQ8xY7tLp2mZ0xW5cR4fO9vK1jH6sD2nG8aQ5wE3rT7uI4oP1cm
bob:$apr1$mZ0xW5cR$4fK1jH6sD2nG8aQ5wE3rT2

Как пользоваться

1. 1

   Настройте сервер и алгоритм

   Выберите целевой сервер (Apache, nginx, Docker, Caddy). Нужный алгоритм выбирается автоматически — bcrypt для Apache/Docker/Caddy, apr1 для совместимого nginx — но вы можете переопределить его и настроить стоимость bcrypt.

2. 2

   Сгенерируйте хеш

   Введите имя пользователя и пароль (или нажмите «Случайный пароль»), затем нажмите «Сгенерировать». Хеш вычисляется локально с новой случайной солью. Пересоздайте соль в любое время, чтобы получить новую запись.

3. 3

   Скопируйте запись

   Скопируйте строку user:hash для вашего файла .htpasswd, скопируйте команду echo >> для добавления через командную строку или скопируйте заголовок Authorization: Basic для curl и Postman.

4. 4

   Разверните конфигурацию

   Вставьте сгенерированный конфигурационный блок в ваш .htaccess Apache, блок server nginx, конфигурацию Docker, Kubernetes ingress, Caddy или Traefik, укажите путь к файлу .htpasswd и перезагрузите сервер.

Примеры использования

Защита директорий Apache

Закройте папку с помощью HTTP Basic Auth, используя файл .htaccess и директиву AuthUserFile. Вставьте bcrypt-запись и сгенерированный конфигурационный блок Apache, чтобы требовать авторизацию для любого пути.

nginx auth_basic

Защитите блок location или server с помощью auth_basic и auth_basic_user_file. Используйте формат apr1, чтобы проверка надёжно работала на Alpine, Debian и других базовых образах.

Docker Registry

Приватный Docker Registry принимает только htpasswd-записи в формате bcrypt. Сгенерируйте строку $2y$ с помощью htpasswd -Bbn, смонтируйте файл в контейнер реестра и выполните аутентификацию через docker login.

Kubernetes ingress-nginx

Создайте Secret типа basic-auth из вашего файла .htpasswd и укажите его с помощью аннотаций nginx.ingress.kubernetes.io/auth-type и auth-secret, чтобы ограничить доступ к маршруту ingress.

Caddy и Traefik

Директива basic_auth в Caddy и middleware basicauth в Traefik ожидают хеши bcrypt. Вставьте сгенерированную запись непосредственно в Caddyfile или в метки/динамическую конфигурацию Traefik.

Заголовок Authorization для curl и Postman

Пропустите файл для быстрых тестов: скопируйте заголовок Authorization: Basic, чтобы отправлять учётные данные напрямую. Используйте его как флаг curl -H или в запросе Postman для обращения к защищённому эндпоинту.

Технические подробности

bcrypt ($2y$)

Адаптивный засоленный хеш на основе шифра Blowfish с настраиваемым коэффициентом сложности. Каждая запись содержит случайную 16-байтную соль и значение стоимости, поэтому одинаковые пароли дают разные хеши. Примечание: bcrypt усекает пароль до 72 байт — символы сверх этого игнорируются.

apr1 (Apache MD5)

Итерационный засоленный вариант MD5 от Apache ($apr1$ + 8-символьная соль). Выполняет 1000 раундов MD5, что значительно слабее адаптивной стоимости bcrypt, однако реализован нативно в Apache и nginx, что делает его наиболее переносимым форматом на разных платформах и базовых образах.

SHA-1 и crypt

Записи SHA-1 ({SHA} + base64-дайджест) не используют соль, поэтому одинаковые пароли дают одинаковые хеши и уязвимы к атакам по радужным таблицам — включены только для обратной совместимости. Традиционный crypt (DES) ещё слабее и молча усекает пароли до 8 символов.

Соль и итерации

Засолка предотвращает атаки с заранее вычисленными хешами (радужными таблицами), делая каждый хеш уникальным. bcrypt использует 128-битную случайную соль с настраиваемой стоимостью; apr1 использует 8-символьную соль с 1000 фиксированными итерациями. Используйте «Пересоздать соль», чтобы получить другой допустимый хеш для того же пароля.

Обработка Base64 и UTF-8

Перед хешированием пароли кодируются как UTF-8-байты, поэтому символы вне ASCII обрабатываются единообразно. Заголовок Authorization: Basic представляет собой base64 от сырых UTF-8-байтов строки имя_пользователя:пароль, что соответствует тому, что серверы декодируют на принимающей стороне.

Примечания и оговорки

Сгенерированные хеши вычисляются локально и не проверяются на живом сервере. Скопированные записи и скачанные файлы .htpasswd оказываются в буфере обмена и на диске в виде открытого хеш-текста — обращайтесь с ними как с секретами, ограничивайте права на файл и очищайте буфер обмена после вставки в рабочую конфигурацию.

Лучшие практики

Отдавайте предпочтение bcrypt везде, где он поддерживается

Используйте bcrypt ($2y$) для Apache, Docker, Caddy и Traefik — он засолен, адаптивен и намного надёжнее apr1 или SHA-1. Оставляйте apr1 только для nginx, когда зависимость bcrypt от системного crypt() делает его ненадёжным.

Храните файл за пределами корня веб-сервера

Держите .htpasswd вне любой обслуживаемой директории, чтобы он никогда не мог быть скачан через HTTP. Установите chmod 640 и передайте владение пользователю веб-сервера, чтобы сервер мог читать файл, а другие учётные записи — нет.

Всегда используйте HTTPS

Basic Auth передаёт учётные данные в виде обратимого base64 с каждым запросом. Без TLS любой на пути трафика может прочитать пароль. Никогда не включайте Basic Auth поверх обычного HTTP — завершайте TLS перед защищённым эндпоинтом.

Используйте уникальные надёжные пароли

У каждой учётной записи должен быть собственный высокоэнтропийный пароль, нигде больше не используемый. Сгенерируйте его с помощью нашего Генератора случайных паролей и храните в менеджере паролей, не придумывая вручную.

Часто задаваемые вопросы