Jak zabezpieczyć stronę Apache lub Nginx hasłem (basic auth)?
Generator wpisu do pliku .htpasswd: tworzy linię w formacie `user:hash` gotową do wklejenia w plik .htpasswd Apache lub do dyrektywy `auth_basic_user_file` w Nginx.
Obsługuje algorytmy: bcrypt (rekomendowane 2024+, najmocniejsze), MD5 APR1 (`$apr1$`, klasyczne Apache), SHA-1 (`{SHA}`, kompatybilność z Nginx-em).
Wszystko liczone w Twojej przeglądarce, hasło nigdy nie wychodzi.
Jak korzystać
- Wpisz nazwę użytkownika (np. "admin", "backup_user").
- Wpisz hasło, hash przeliczany jest natychmiast w przeglądarce.
- Wybierz algorytm: bcrypt (najmocniejszy, ~50ms na hash, Apache 2.4+ i Nginx 1.10+), MD5 APR1 (klasyczny Apache, działa wszędzie), SHA-1 (Nginx-only, najsłabszy ale szybki).
- Dla bcrypt ustaw cost (4-14). Default 10 to balans bezpieczeństwa i czasu logowania (~50ms na sprawdzenie). 12+ dla wysokich wymagań.
- Skopiuj wygenerowaną linię lub pobierz plik .htpasswd. Wgraj na serwer w bezpieczne miejsce poza document root i wskaż w konfiguracji Apache (`AuthUserFile`) lub Nginx (`auth_basic_user_file`).
Do czego się przydaje
Pięć typowych sytuacji, w których basic auth z .htpasswd wystarcza w 100%:
- Zabezpieczenie statycznej strony przed indeksowaniem. Basic auth na panel staging/test.
- Ochrona katalogu `/admin/` w Apache.
- Prywatny mirror paczek (Composer, npm). Dostęp tylko dla zespołu.
- Internal documentation site. Dostęp do wewnętrznej dokumentacji.
- CI/CD artifact server. Prywatny serwer artefaktów buildów.
Dla większych setupów (10+ użytkowników) rozważ dedykowany identity provider, basic auth scaling jest ograniczony. Pojedynczy użytkownik lub mały zespół = idealny use case.
Generator pozwala dodać wpis bez instalowania htpasswd CLI ani Apache utils.
Pytania i odpowiedzi
Plik tekstowy w formacie `user:hash` w każdej linii, używany przez Apache i Nginx do basic HTTP authentication. Gdy serwer dostaje request z nagłówkiem `Authorization: Basic ...`, dekoduje user:password, sprawdza czy user istnieje w pliku, i porównuje hash dostarczonego hasła z tym w pliku. Standard od lat 90.: prosty, ale ograniczony (brak sesji, brak logout, hasło wysyłane base64 przy każdym requeście).