À quoi sert un fichier .htpasswd ?

C'est un fichier plat utilisé par le module d'authentification HTTP Basic d'Apache (mod_authn_file) pour stocker des paires nom_utilisateur:hachage. Apache vérifie les identifiants Basic Auth entrants par rapport aux hachages de ce fichier pour accorder ou refuser l'accès à un répertoire ou un hôte virtuel protégé.

Quel format devrais-je choisir, '{SHA}' ou APR1-MD5 ?

APR1-MD5 est généralement préféré car il est salé (chaque mot de passe reçoit un sel aléatoire unique, déjouant les tables arc-en-ciel précalculées) et itéré 1000 fois (ralentissant les tentatives de force brute). '{SHA}' n'est pas salé et se calcule en une seule passe, ce qui le rend plus rapide à calculer mais plus faible face aux attaques hors ligne si le fichier venait à fuiter.

Est-ce la même sortie que celle produite par `htpasswd -m` ou `htpasswd -s` ?

Oui. L'option APR1-MD5 reproduit exactement l'algorithme utilisé par l'outil htpasswd d'Apache avec l'option -m, et '{SHA}' reproduit le format de sortie de l'option -s, de sorte que la ligne générée peut être collée directement dans votre fichier .htpasswd sans conversion supplémentaire.

Pourquoi mon nom d'utilisateur ne peut-il pas contenir de deux-points ?

Le format du fichier .htpasswd utilise un deux-points pour séparer le champ nom d'utilisateur du champ hachage sur chaque ligne. Un deux-points dans le nom d'utilisateur serait mal interprété par Apache comme le séparateur de champ, corrompant l'entrée — cet outil bloque cette saisie et affiche une erreur.

L'authentification Basic avec .htpasswd est-elle sécurisée à elle seule ?

L'authentification Basic envoie le nom d'utilisateur et le mot de passe encodés en Base64 (non chiffrés) dans l'en-tête Authorization de chaque requête. Sans HTTPS, les identifiants sont trivialement visibles pour quiconque intercepte le trafic — servez toujours le contenu protégé par Basic Auth via HTTPS, quelle que soit la robustesse du format de hachage de votre .htpasswd.

Cet outil envoie-t-il mon mot de passe à un serveur ?

Non. Les calculs de hachage '{SHA}' (via SHA-1 de Web Crypto) et APR1-MD5 s'exécutent entièrement en JavaScript dans votre onglet de navigateur. Aucune requête réseau n'est effectuée — votre mot de passe n'est jamais transmis.

Comment ajouter une entrée générée à un fichier .htpasswd existant ?

Ouvrez le fichier .htpasswd dans un éditeur de texte et ajoutez la ligne nom_utilisateur:hachage générée comme nouvelle ligne. Si le nom d'utilisateur existe déjà, remplacez cette ligne entière plutôt que d'en ajouter une en double, car Apache utilisera la première entrée qu'il rencontre.

Puis-je utiliser cet outil pour l'authentification Basic Nginx également ?

Oui. La directive auth_basic_user_file de Nginx lit le même format de fichier .htpasswd et prend en charge à la fois APR1-MD5 et '{SHA}' (appelées variantes « crypt »), bien que bcrypt soit également pris en charge par Nginx si vous avez besoin d'une option plus robuste non couverte par cet outil.

Pourquoi le hachage change-t-il à chaque fois que je clique sur Générer pour APR1-MD5 ?

APR1-MD5 inclut un sel de 8 caractères généré aléatoirement, intégré directement dans la sortie du hachage ($apr1$sel$hachage), de sorte que chaque génération produit un hachage d'apparence différente pour le même mot de passe — c'est normal et correct ; Apache redérive et vérifie automatiquement le sel intégré au moment de la connexion.

Que se passe-t-il si je laisse le champ mot de passe vide ?

Aucun hachage n'est généré tant que les champs nom d'utilisateur et mot de passe ne contiennent pas tous deux une valeur — la zone de sortie affiche un message d'état vide jusqu'à ce que vous ayez rempli les deux.

Générateur .htpasswd — Créez des identifiants d'authentification Apache Basic

Notre Générateur .htpasswd crée une ligne unique nom_utilisateur:hachage au format produit par l'outil en ligne de commande htpasswd d'Apache, prête à être collée dans votre fichier .htpasswd pour l'authentification HTTP Basic. Choisissez entre le format {SHA} (SHA-1, calculé avec l'API Web Crypto native du navigateur) ou APR1-MD5 (la variante MD5 salée et itérée d'Apache, correspondant à la sortie de `htpasswd -m`). Saisissez un nom d'utilisateur et un mot de passe, choisissez un format, et la ligne d'identifiants se met à jour instantanément. Rien n'est envoyé à un serveur — l'ensemble du calcul de hachage se déroule dans votre navigateur.

Nom d'utilisateur

Mot de passe

Format de hachage

Ligne htpasswd

Saisissez un nom d'utilisateur et un mot de passe pour générer une ligne d'identifiants

Comment utiliser Générateur .htpasswd — Outil gratuit de mot de passe Apache Basic Auth

1
Saisissez le nom d'utilisateur avec lequel vous souhaitez vous authentifier (les deux-points ne sont pas autorisés dans les noms d'utilisateur puisqu'ils servent de séparateur de champ).
2
Saisissez le mot de passe pour cet utilisateur.
3
Choisissez un format de hachage : '{SHA}' (SHA-1, simple et rapide) ou APR1-MD5 (salé et itéré, correspond à `htpasswd -m`).
4
Copiez la ligne nom_utilisateur:hachage résultante et collez-la comme nouvelle ligne dans le fichier .htpasswd de votre serveur.

Pourquoi utiliser Générateur .htpasswd — Outil gratuit de mot de passe Apache Basic Auth ?

L'authentification Basic du module mod_authn_file d'Apache lit les identifiants depuis un fichier .htpasswd où chaque ligne a le format nom_utilisateur:hachage. Plutôt que d'exiger une installation locale de l'utilitaire en ligne de commande htpasswd d'Apache, cet outil calcule exactement les mêmes formats de hachage directement dans votre navigateur. Le format {SHA} est un simple condensé SHA-1 non salé, préfixé par {SHA} et encodé en base64 — rapide à calculer mais, n'étant pas salé, plus vulnérable aux attaques par table arc-en-ciel précalculée si le hachage venait à être exposé. APR1-MD5 (le format produit par `htpasswd -m`, préfixé par $apr1$) est la propre variante d'Apache du MD5 crypt, salée et itérée 1000 fois, ajoutant un sel aléatoire par mot de passe et un hachage répété pour ralentir considérablement les tentatives de force brute par rapport à un simple hachage non salé. Notez que l'authentification Basic elle-même envoie les identifiants sous une forme facilement décodable (non chiffrée) via du HTTP en clair — associez toujours l'authentification .htpasswd à HTTPS afin que les identifiants ne soient pas exposés en transit, quel que soit le format de hachage protégeant le fichier stocké.

Questions fréquentes

Outils similaires

Générateur de hachage — MD5, SHA-1, SHA-256, SHA-512 en ligne

Générez instantanément des hachages MD5, SHA-1, SHA-256, SHA-384 et SHA-512 à partir de n'importe quel texte. Les cinq algorithmes sont calculés simultanément, dans votre navigateur. Gratuit, sans inscription requise.

Générateur de Mots de Passe Aléatoires — Gratuit et Sécurisé

Générez des mots de passe forts et aléatoires instantanément. Choisissez une longueur de 8 à 64, sélectionnez les jeux de caractères, et copiez en un clic. Gratuit, sans inscription.

Encodeur / Décodeur Base64 — Outil en ligne gratuit

Encodez du texte en Base64 ou décodez du Base64 en texte brut instantanément dans votre navigateur. Gère correctement l'UTF-8 et l'Unicode. Gratuit, sans inscription, aucune donnée envoyée à un serveur.