.htpasswdジェネレーター — Apache Basic認証の認証情報を作成

.htpasswdジェネレーター — 無料Apache Basic認証パスワードツールの使い方

1. 1

   認証に使用するユーザー名を入力します（コロンはフィールド区切りに使われるため、ユーザー名には使用できません）。

2. 2

   そのユーザーのパスワードを入力します。

3. 3

   ハッシュ形式を選びます。'{SHA}'（SHA-1、シンプルで高速）またはAPR1-MD5（ソルト付き・反復処理、`htpasswd -m`と一致）から選択してください。

4. 4

   生成された「ユーザー名:ハッシュ」の行をコピーし、サーバーの.htpasswdファイルに新しい行として貼り付けます。

なぜ.htpasswdジェネレーター — 無料Apache Basic認証パスワードツールを使うのか？

Apacheのmod_authn_fileによるBasic認証は、各行が「ユーザー名:ハッシュ」形式になっている.htpasswdファイルから認証情報を読み込みます。Apacheのhtpasswdコマンドラインユーティリティをローカルにインストールする代わりに、このツールは全く同じハッシュ形式をブラウザ内で直接計算します。{SHA}形式は、{SHA}を先頭に付けてBase64エンコードした、シンプルでソルトなしのSHA-1ダイジェストです。計算は高速ですが、ソルトがないため、ハッシュが漏洩した場合に事前計算されたレインボーテーブル攻撃に対してより脆弱です。APR1-MD5（`htpasswd -m`が生成する形式で、$apr1$を先頭に付ける）は、Apache独自のソルト付き・1000回反復MD5 crypt方式であり、パスワードごとにランダムなソルトを追加し、繰り返しハッシュ化することで、単純なソルトなしハッシュに比べてブルートフォース攻撃を大幅に困難にします。なお、Basic認証自体は、平文のHTTP上で容易にデコード可能な（暗号化されていない）形式で認証情報を送信するため、保存されたファイルをどのハッシュ形式で保護していても、通信中に認証情報が漏洩しないよう常にHTTPSと組み合わせて使用してください。