Welchen Algorithmus sollte ich für eine .htpasswd-Datei nutzen?

Nutze bcrypt für alles, was über das Netzwerk erreichbar ist — es ist gesalzen und bewusst langsam, sodass es Brute Force widersteht. Das {SHA}-SHA-1-Schema ist ungesalzen und nur für ältere Server sinnvoll, die kein bcrypt ausführen können.

Warum beginnt der bcrypt-Hash mit $2y$ statt $2a$?

$2y$ ist das Präfix, das Apaches htpasswd-Tool schreibt. bcrypt-Bibliotheken geben oft $2a$ oder $2b$ aus, aber der Algorithmus ist identisch, sodass dieser Generator das Präfix auf $2y$ normalisiert, um dem zu entsprechen, was Apache auf der Platte erzeugt.

Wie füge ich die erzeugte Zeile zu meiner .htpasswd-Datei hinzu?

Kopiere die user:hash-Zeile oder lade die .htpasswd-Datei herunter und hänge die Zeile als eigene Zeile an. Dann zeige AuthUserFile (Apache) oder auth_basic_user_file (nginx) auf diese Datei und lade den Server neu.

Erzeugt dasselbe Passwort jedes Mal dieselbe htpasswd-Zeile?

Mit bcrypt nein — bei jedem Lauf wird ein frischer zufälliger Salt genutzt, sodass identische Passwörter verschiedene Hashes ergeben, die trotzdem verifizieren. Mit dem {SHA}-Schema ist der Hash ungesalzen, sodass dasselbe Passwort immer dieselbe Zeile ergibt.

Wird das Passwort, das ich tippe, zum Hashen an einen Server gesendet?

Nein. bcrypt läuft in deinem Browser und SHA-1 nutzt die eingebaute Web Crypto API, sodass der Benutzername und das Passwort, die du eingibst, auf deinem Gerät gehasht und niemals zu ArrayKit hochgeladen werden.

htpasswd-Generator online

Erzeuge eine .htpasswd-Benutzerzeile mit bcrypt oder SHA-1 aus einem Benutzernamen und Passwort, direkt in deinem Browser. Anmeldedaten bleiben auf deinem Gerät.

Der htpasswd-Generator hasht dein Passwort in deinem Browser — bcrypt in einem verzögert geladenen Modul und SHA-1 über die Web Crypto API. Der Benutzername und das Passwort, die du eingibst, verlassen dein Gerät nie und werden niemals zu ArrayKit hochgeladen.

Basic-Auth-Generator öffnen

Über htpasswd-Generator

Der htpasswd-Generator verwandelt einen Benutzernamen und ein Passwort in eine einzelne .htpasswd-Zeile für Apache- oder nginx-HTTP-Basic-Auth. Wähle bcrypt, das empfohlene gesalzene Schema, das Apache als $2y$ schreibt, oder das veraltete {SHA}-Schema (ungesalzenes SHA-1, Base64) für ältere Setups. Das Tool gibt eine fertige user:hash-Zeile aus, die du kopieren oder herunterladen und an deine .htpasswd-Datei anhängen kannst, um dann ein Verzeichnis mit AuthType Basic oder nginx auth_basic_user_file zu schützen. Passend für Sysadmins und Entwickelnde, die eine Staging-Site, ein internes Dashboard oder ein Verzeichnis hinter einem Reverse-Proxy sichern. Das bcrypt-Hashing läuft jedes Mal mit einem frischen zufälligen Salt und SHA-1 nutzt die Web Crypto API — alles in deinem Browser, sodass das Passwort, das du tippst, dein Gerät nie verlässt.

Funktionen

Erzeuge eine user:hash-Zeile für eine .htpasswd-Datei aus einem Benutzernamen und Passwort
bcrypt-Schema mit zufälligem Salt, ausgegeben mit Apaches $2y$-Präfix
Veraltetes {SHA}-Schema (Base64 SHA-1) für ältere Apache- und nginx-Konfigurationen
Kopiere die Zeile oder lade sie direkt als .htpasswd-Datei herunter
Lehnt Benutzernamen mit einem Doppelpunkt, Leerzeichen oder Zeilenumbrüchen ab, die die Datei brechen würden
Jeder bcrypt-Lauf erzeugt einen frischen Hash, sodass identische Passwörter nie übereinstimmen
Funktioniert gleichermaßen für Apache mod_auth_basic und nginx auth_basic_user_file
Hasht das Passwort in deinem Browser, ohne dass etwas an einen Server gesendet wird

So verwendest du htpasswd-Generator

Tippe den Benutzernamen und das Passwort, mit dem du ein Verzeichnis schützen möchtest
Wähle bcrypt (empfohlen) oder den veralteten SHA-1-{SHA}-Algorithmus
Kopiere die erzeugte user:hash-Zeile oder lade die .htpasswd-Datei herunter
Hänge die Zeile an die .htpasswd deines Servers an und referenziere sie aus der Auth-Konfiguration

Beispiel

Eingabe

username: admin
password: password
algorithm: SHA-1

Ausgabe

admin:{SHA}W6ph5Mm5Pz8GgiULbPgzG37mj9g=

SHA-1 erzeugt {SHA} + Base64; bcrypt würde stattdessen admin:$2y$... ausgeben.

Häufige Fehler & Fehlerbehebung

Apache protokolliert 'crypt not supported' oder die bcrypt-Zeile wird abgelehnt. — bcrypt in .htpasswd benötigt Apache 2.4 oder neuer mit mod_authn_file. Auf älteren Servern wechsle zum {SHA}-Schema oder aktualisiere Apache.
Die ganze Zeile landete in einer Zeile und die Auth gelingt nie. — Jeder .htpasswd-Eintrag muss seine eigene Zeile sein, die mit einem Zeilenumbruch endet. Das Herunterladen der Datei fügt den Zeilenumbruch für dich hinzu; wenn du einfügst, drücke nach der Zeile Enter.
Der Benutzername enthält einen Doppelpunkt und die Datei teilt ihn falsch. — Apache teilt jeden Eintrag am ersten Doppelpunkt, sodass ein Doppelpunkt im Benutzernamen das Parsen bricht. Entferne den Doppelpunkt — der Generator blockiert ihn aus diesem Grund.
Ein {SHA}-Hash kopiert, aber die Anmeldung scheitert trotzdem. — Das {SHA}-Schema ist ungesalzenes SHA-1 und beim Passwort case-sensitiv. Prüfe das genaue Passwort erneut und bevorzuge bcrypt für alles, was zum Internet zeigt.

Häufig gestellte Fragen

Welchen Algorithmus sollte ich für eine .htpasswd-Datei nutzen?: Nutze bcrypt für alles, was über das Netzwerk erreichbar ist — es ist gesalzen und bewusst langsam, sodass es Brute Force widersteht. Das {SHA}-SHA-1-Schema ist ungesalzen und nur für ältere Server sinnvoll, die kein bcrypt ausführen können.
Warum beginnt der bcrypt-Hash mit $2y$ statt $2a$?: $2y$ ist das Präfix, das Apaches htpasswd-Tool schreibt. bcrypt-Bibliotheken geben oft $2a$ oder $2b$ aus, aber der Algorithmus ist identisch, sodass dieser Generator das Präfix auf $2y$ normalisiert, um dem zu entsprechen, was Apache auf der Platte erzeugt.
Wie füge ich die erzeugte Zeile zu meiner .htpasswd-Datei hinzu?: Kopiere die user:hash-Zeile oder lade die .htpasswd-Datei herunter und hänge die Zeile als eigene Zeile an. Dann zeige AuthUserFile (Apache) oder auth_basic_user_file (nginx) auf diese Datei und lade den Server neu.
Erzeugt dasselbe Passwort jedes Mal dieselbe htpasswd-Zeile?: Mit bcrypt nein — bei jedem Lauf wird ein frischer zufälliger Salt genutzt, sodass identische Passwörter verschiedene Hashes ergeben, die trotzdem verifizieren. Mit dem {SHA}-Schema ist der Hash ungesalzen, sodass dasselbe Passwort immer dieselbe Zeile ergibt.
Wird das Passwort, das ich tippe, zum Hashen an einen Server gesendet?: Nein. bcrypt läuft in deinem Browser und SHA-1 nutzt die eingebaute Web Crypto API, sodass der Benutzername und das Passwort, die du eingibst, auf deinem Gerät gehasht und niemals zu ArrayKit hochgeladen werden.