Wie schütze ich eine Apache- oder Nginx-Seite mit Passwort (Basic Auth)?
Erzeugt einen Eintrag für eine .htpasswd-Datei: die Zeile im Format `user:hash`, fertig zum Einfügen in eine Apache-.htpasswd-Datei oder die `auth_basic_user_file`-Direktive in Nginx.
Unterstützt: bcrypt (empfohlen ab 2024, am stärksten), MD5 APR1 (`$apr1$`, Apache-Klassiker), SHA-1 (`{SHA}`, Nginx-kompatibel).
Alles wird in deinem Browser berechnet, das Passwort verlässt ihn nie.
So nutzt du das Tool
- Tippe einen Benutzernamen ein (z. B. "admin", "backup_user").
- Tippe das Passwort ein, der Hash wird sofort im Browser berechnet.
- Wähle den Algorithmus: bcrypt (am stärksten, ~50 ms pro Hash, Apache 2.4+ und Nginx 1.10+), MD5 APR1 (Apache-Klassiker, funktioniert überall), SHA-1 (nur Nginx, schwächster, aber schnellster).
- Bei bcrypt den Cost (4-14) einstellen. Standard 10 ist die Balance zwischen Sicherheit und Login-Latenz (~50 ms Verifizierung). 12+ für sicherheitskritische Apps.
- Kopiere die Zeile oder lade sie als .htpasswd herunter. Lade sie auf den Server in einen sicheren Pfad außerhalb des Document Root und verweise per Apache (`AuthUserFile`) oder Nginx (`auth_basic_user_file`) darauf.
Wann das hilfreich ist
Fünf typische Situationen, in denen Basic Auth mit .htpasswd zu 100% ausreicht:
- Statische Seite gegen Indexierung sperren. Basic Auth auf einem Staging-/Test-Panel.
- Ein `/admin/`-Verzeichnis in Apache schützen.
- Privater Paket-Mirror (Composer, npm). Zugriff nur fürs Team.
- Interne Dokumentationsseite. Zugriff auf interne Docs.
- CI/CD-Artefakt-Server. Privater Build-Artefakt-Server.
Für größere Setups (10+ Nutzer) lohnt sich ein dedizierter Identity Provider, Basic Auth skaliert schlecht. Einzelner Nutzer oder kleines Team = der ideale Anwendungsfall.
Mit dem Generator kannst du einen Eintrag hinzufügen, ohne die htpasswd-CLI oder Apache-Utils zu installieren.
Fragen und Antworten
Eine Textdatei mit `user:hash`-Zeilen, die Apache und Nginx für HTTP Basic Authentication nutzen. Wenn der Server einen Request mit `Authorization: Basic ...` bekommt, decodiert er user:password, sucht den Nutzer in der Datei und vergleicht den Passwort-Hash mit dem gespeicherten. Ein Standard seit den 1990ern: simpel, aber limitiert (keine Sessions, kein Logout, Passwort wird bei jedem Request base64-codiert mitgeschickt).