Comment protéger par mot de passe une page Apache ou Nginx (basic auth) ?
Génère une entrée pour un fichier .htpasswd : la ligne au format `user:hash` prête à coller dans un fichier Apache .htpasswd ou dans la directive `auth_basic_user_file` de Nginx.
Supporte : bcrypt (recommandé pour 2024+, le plus robuste), MD5 APR1 (`$apr1$`, classique Apache), SHA-1 (`{SHA}`, compatible Nginx).
Tout est calculé dans ton navigateur, le mot de passe ne sort jamais.
Comment l'utiliser
- Tape un nom d'utilisateur (par exemple « admin », « backup_user »).
- Tape le mot de passe : le hash est calculé instantanément dans le navigateur.
- Choisis l'algorithme : bcrypt (le plus robuste, environ 50 ms par hash, Apache 2.4+ et Nginx 1.10+), MD5 APR1 (classique Apache, marche partout), SHA-1 (Nginx uniquement, le plus faible mais le plus rapide).
- Pour bcrypt, règle le coût (4 à 14). Défaut 10 équilibre sécurité et latence de login (environ 50 ms de vérification). 12 et plus pour les applis sensibles.
- Copie la ligne ou télécharge en .htpasswd. Upload sur le serveur dans un endroit sûr hors document root et référence depuis Apache (`AuthUserFile`) ou Nginx (`auth_basic_user_file`).
Quand c'est utile
Cinq situations typiques où la basic auth avec .htpasswd suffit largement :
- Verrouiller un site statique contre l'indexation. Basic auth sur un panneau de staging/test.
- Protéger un répertoire `/admin/` dans Apache.
- Miroir de packages privé (Composer, npm). Accès réservé à l'équipe.
- Site de documentation interne. Accès aux docs internes.
- Serveur d'artifacts CI/CD. Serveur d'artifacts de build privés.
Pour des setups plus gros (10+ utilisateurs), envisage un identity provider dédié : la basic auth scale mal. Un seul utilisateur ou petite équipe = le cas d'usage idéal.
Le générateur permet d'ajouter une entrée sans installer le CLI htpasswd ou les utils Apache.
Questions et réponses
Un fichier texte avec des lignes `user:hash`, utilisé par Apache et Nginx pour l'authentification HTTP basic. Quand le serveur reçoit une requête avec `Authorization: Basic ...`, il décode user:password, cherche l'utilisateur dans le fichier et compare le hash du mot de passe à celui stocké. Un standard depuis les années 1990 : simple, mais limité (pas de sessions, pas de logout, mot de passe envoyé en base64 à chaque requête).