Sicherheit
htpasswd Generator
Erzeuge .htpasswd-Einträge für den Verzeichnisschutz mit Apache oder nginx – sicher mit bcrypt, für mehrere Benutzer, samt fertiger .htaccess. Alles passiert in deinem Browser, kein Passwort verlässt dein Gerät.
- Läuft komplett in deinem Browser
- Keine Datenübertragung
- Ohne Anmeldung
- Kostenlos
Benutzer
.htpasswd
Jede Zeile: benutzer:hash. Das Passwort selbst steht nicht in der Datei. Neu erzeugt sieht jeder Hash anders aus (zufälliges Salz) – das ist richtig so.
.htaccess des zu schützenden Ordnerslocation-Block der Server-KonfigurationDie .htpasswd am besten außerhalb des öffentlichen Webordners ablegen. Den absoluten Pfad zeigt dir z. B. ein PHP-Skript mit <?php echo __DIR__; oder die Verwaltung deines Hosters.
Passwort gegen eine htpasswd-Zeile prüfen
Anleitung
So funktioniert’s
- Benutzer anlegen
Benutzername und Passwort eingeben – oder mit dem Würfel ein sicheres Passwort erzeugen lassen. Weitere Benutzer kommen mit „Benutzer hinzufügen“ dazu.
- Verfahren wählen
bcrypt ist die sichere Wahl für Apache 2.4. Der Kostenfaktor bestimmt, wie lange eine Prüfung dauert: 10 ist ein guter Wert. Für nginx oder sehr alte Server gibt es Apache-MD5.
- Datei anlegen
Den Inhalt als .htpasswd speichern und möglichst außerhalb des öffentlichen Webordners hochladen. Den Pfad trägst du rechts ein.
- Schutz aktivieren
Die .htaccess-Zeilen in den zu schützenden Ordner legen (bei nginx in die Server-Konfiguration). Beim nächsten Aufruf fragt der Browser nach Benutzername und Passwort.
FAQ
Häufige Fragen
Was ist eine .htpasswd?
Eine Textdatei, in der für jeden Benutzer eine Zeile benutzer:hash steht. Apache und nginx vergleichen beim Anmelden das eingegebene Passwort mit dem Hash. Das Passwort selbst steht nirgends in der Datei.
Welches Verfahren ist das richtige?
bcrypt, wenn dein Server Apache 2.4 oder neuer ist – das ist bei praktisch allen Hostern der Fall. Apache-MD5 funktioniert überall, ist aber zu schnell, um Angriffen lange standzuhalten. SHA-1 ohne Salz ist nur noch für sehr alte Systeme gedacht.
Welcher Kostenfaktor ist sinnvoll?
Jede Stufe verdoppelt die Rechenzeit. Da der Server bei geschützten Seiten das Passwort bei jedem Seitenaufruf prüft, ist ein mittlerer Wert ideal: 10 kostet nur Millisekunden, macht Angriffe aber um ein Vielhundertfaches langsamer als Apache-MD5. Apache selbst nutzt standardmäßig 5.
Warum sieht der Hash jedes Mal anders aus?
Bei bcrypt und Apache-MD5 fließt ein zufälliges Salz in jeden Hash ein. Dadurch haben gleiche Passwörter unterschiedliche Hashes – und vorberechnete Tabellen nützen Angreifern nichts. Beim Anmelden wird das Salz aus dem Hash gelesen, deshalb funktioniert jede Variante.
Ist Verzeichnisschutz per .htpasswd sicher?
Ja, solange die Seite über HTTPS läuft – sonst werden Benutzername und Passwort bei jedem Aufruf praktisch im Klartext (nur Base64-kodiert) mitgeschickt. Außerdem sollten Passwörter lang und einzigartig sein; dafür gibt es den Würfel neben dem Passwortfeld.
Werden meine Passwörter irgendwo gespeichert?
Nein. Die Hashes entstehen in deinem Browser, nichts wird gesendet. Es gibt bewusst keinen Teilen-Link, damit keine Passwörter im Browserverlauf landen.