لماذا يُستخدم ملف .htpasswd؟

هو ملف نصي مسطّح تستخدمه وحدة مصادقة HTTP الأساسية في Apache (mod_authn_file) لتخزين أزواج username:hash. يتحقق Apache من بيانات اعتماد Basic Auth الواردة مقابل التجزئات في هذا الملف لمنح الوصول إلى دليل محمي أو مضيف افتراضي أو رفضه.

أي صيغة يجب أن أختار، '{SHA}' أم APR1-MD5؟

تُفضَّل APR1-MD5 عمومًا لأنها مملَّحة (كل كلمة مرور تحصل على ملح عشوائي فريد، ما يُبطل جداول قوس قزح المحسوبة مسبقًا) ومتكررة 1000 مرة (يُبطئ محاولات القوة الغاشمة). أما '{SHA}' فغير مملَّحة وأحادية المرور، ما يجعلها أسرع في الحساب لكنها أضعف أمام الهجمات دون اتصال إذا تسرّب الملف يومًا.

هل هذا نفس ناتج تشغيل `htpasswd -m` أو `htpasswd -s`؟

نعم. يُعيد خيار APR1-MD5 إنتاج نفس الخوارزمية التي تستخدمها أداة htpasswd في Apache مع العلامة -m، وتُعيد '{SHA}' إنتاج صيغة ناتج العلامة -s، لذا يمكن لصق السطر المُولَّد مباشرة في ملف .htpasswd الخاص بك دون أي تحويل إضافي.

لماذا لا يمكن أن يحتوي اسم المستخدم على نقطتين رأسيتين؟

تستخدم صيغة ملف .htpasswd نقطتين رأسيتين لفصل حقل اسم المستخدم عن حقل التجزئة في كل سطر. النقطتان الرأسيتان داخل اسم المستخدم سيُساء تفسيرهما من Apache كفاصل الحقول، ما يُفسد الإدخال — تمنع هذه الأداة هذا المُدخل وتعرض خطأ.

هل مصادقة Basic مع .htpasswd آمنة وحدها؟

ترسل مصادقة Basic اسم المستخدم وكلمة المرور مُرمَّزين بـ Base64 (وليس مشفَّرين) في ترويسة Authorization لكل طلب. دون HTTPS، تكون بيانات الاعتماد مرئية بسهولة لأي شخص يعترض حركة المرور — قدّم دائمًا محتوى محميًا بمصادقة Basic عبر HTTPS، بغض النظر عن قوة صيغة تجزئة .htpasswd لديك.

هل تُرسِل هذه الأداة كلمة مروري إلى خادم؟

لا. تعمل حسابات تجزئة '{SHA}' (عبر SHA-1 من Web Crypto) وAPR1-MD5 كلتاهما بالكامل بجافاسكريبت داخل تبويب متصفحك. لا يُرسَل أي طلب شبكي — لا تُنقَل كلمة مرورك إطلاقًا.

كيف أضيف إدخالًا مُولَّدًا إلى ملف .htpasswd موجود؟

افتح ملف .htpasswd في محرر نصوص وأضف سطر username:hash المُولَّد كسطر جديد. إذا كان اسم المستخدم موجودًا مسبقًا، استبدل ذلك السطر بأكمله بدل إضافة تكرار، لأن Apache سيستخدم أي إدخال يصادفه.

هل يمكنني استخدام هذا لمصادقة Nginx الأساسية أيضًا؟

نعم. يقرأ توجيه auth_basic_user_file في Nginx نفس صيغة ملف .htpasswd ويدعم كلًا من APR1-MD5 و'{SHA}' (يُشار إليهما بأنهما نوعا 'crypt')، رغم أن Nginx يدعم أيضًا bcrypt إذا احتجت خيارًا أقوى لا تغطيه هذه الأداة.

لماذا تتغيّر التجزئة في كل مرة أنقر فيها على 'توليد' لـ APR1-MD5؟

تتضمن APR1-MD5 ملحًا عشوائيًا مكوّنًا من 8 أحرف مُضمَّنًا مباشرة في ناتج التجزئة ($apr1$salt$hash)، لذا يُنتج كل توليد تجزئة تبدو مختلفة لنفس كلمة المرور — هذا متوقع وصحيح؛ يُعيد Apache اشتقاق الملح المُضمَّن والتحقق منه تلقائيًا عند تسجيل الدخول.

ماذا يحدث إذا تركت حقل كلمة المرور فارغًا؟

لا تُولَّد أي تجزئة حتى يحتوي حقلا اسم المستخدم وكلمة المرور على قيمة — تعرض منطقة الإخراج رسالة حالة فارغة حتى تملأ كليهما.

مولّد .htpasswd — أنشئ بيانات اعتماد Apache Basic Authentication

يُنشئ مولّد .htpasswd لدينا سطر username:hash واحد بنفس الصيغة التي تنتجها أداة htpasswd من سطر أوامر Apache، جاهزًا للصقه في ملف .htpasswd الخاص بك لمصادقة HTTP الأساسية. اختر بين صيغة {SHA} (SHA-1، محسوبة بواجهة Web Crypto API الأصلية في المتصفح) أو APR1-MD5 (نسخة Apache المملَّحة والمتكررة من MD5، مطابقة لناتج `htpasswd -m`). أدخل اسم مستخدم وكلمة مرور، اختر صيغة، ويتحدّث سطر بيانات الاعتماد فورًا. لا يُرسَل أي شيء إلى خادم — تحدث عملية حساب التجزئة بأكملها داخل متصفحك.

اسم المستخدم

كلمة المرور

صيغة التجزئة

سطر htpasswd

أدخل اسم مستخدم وكلمة مرور لإنشاء سطر بيانات الاعتماد

كيفية استخدام مولّد .htpasswd — أداة مجانية لكلمات مرور Apache Basic Auth

1
أدخل اسم المستخدم الذي تريد المصادقة به (لا يُسمح بالنقطتين الرأسيتين في أسماء المستخدمين لأنها فاصل الحقول).
2
أدخل كلمة المرور لذلك المستخدم.
3
اختر صيغة تجزئة: '{SHA}' (SHA-1، بسيطة وسريعة) أو APR1-MD5 (مملَّحة ومتكررة، مطابقة لـ `htpasswd -m`).
4
انسخ سطر username:hash الناتج والصقه كسطر جديد في ملف .htpasswd الخاص بخادمك.

لماذا تستخدم مولّد .htpasswd — أداة مجانية لكلمات مرور Apache Basic Auth؟

تقرأ مصادقة Apache الأساسية عبر mod_authn_file بيانات الاعتماد من ملف .htpasswd حيث يكون لكل سطر الصيغة username:hash. بدل الحاجة لتثبيت محلي لأداة htpasswd من سطر أوامر Apache، تحسب هذه الأداة نفس صيغ التجزئة تمامًا مباشرة داخل متصفحك. صيغة {SHA} هي ملخّص SHA-1 بسيط غير مملَّح مسبوق بـ {SHA} ومُرمَّز بـ base64 — سريع الحساب لكنه، لكونه غير مملَّح، أكثر عرضة لهجمات جداول قوس قزح المحسوبة مسبقًا إذا تعرّضت التجزئة يومًا للكشف. أما APR1-MD5 (الصيغة التي تُنتجها `htpasswd -m`، مسبوقة بـ $apr1$) فهي نسخة Apache الخاصة المملَّحة والمتكررة 1000 مرة من MD5 crypt، تضيف ملحًا عشوائيًا لكل كلمة مرور وتجزئة متكررة لإبطاء محاولات القوة الغاشمة بشكل كبير مقارنة بتجزئة واحدة غير مملَّحة. لاحظ أن مصادقة Basic نفسها ترسل بيانات الاعتماد بصيغة سهلة فك الترميز (وليست مشفَّرة) عبر HTTP العادي — اقرن دائمًا مصادقة .htpasswd بـ HTTPS كي لا تُكشف بيانات الاعتماد أثناء النقل، بغض النظر عن صيغة التجزئة التي تحمي الملف المُخزَّن.

الأسئلة الشائعة

أدوات ذات صلة

مولّد التجزئة — MD5 وSHA-1 وSHA-256 وSHA-512 عبر الإنترنت

أنشئ تجزئات MD5 وSHA-1 وSHA-256 وSHA-384 وSHA-512 من أي نص فورًا. تُحسب الخوارزميات الخمس جميعها في وقت واحد، داخل متصفحك. مجانية، لا حاجة للتسجيل.

مولّد كلمات مرور عشوائية — مجاني وآمن

أنشئ كلمات مرور قوية وعشوائية فوراً. اختر طول 8–64، حدد مجموعات الأحرف، وانسخ بنقرة واحدة. مجاني، لا تسجيل، يعمل في متصفحك.

أداة ترميز وفك ترميز Base64 — مجانية عبر الإنترنت

شفّر النصوص إلى Base64 أو فكّ تشفير Base64 إلى نص عادي فورًا داخل متصفحك. تدعم UTF-8 ورموز يونيكود بشكل صحيح. مجانية، بلا تسجيل، ودون إرسال أي بيانات إلى خادم.