Para que serve um arquivo .htpasswd?

É um arquivo plano usado pelo módulo de Autenticação Básica HTTP do Apache (mod_authn_file) para armazenar pares usuário:hash. O Apache verifica as credenciais de Autenticação Básica recebidas contra os hashes neste arquivo para conceder ou negar acesso a um diretório ou virtual host protegido.

Qual formato devo escolher, '{SHA}' ou APR1-MD5?

APR1-MD5 é geralmente preferível porque é salgado (cada senha recebe um sal aleatório único, derrotando tabelas rainbow pré-computadas) e iterado 1000 vezes (desacelerando tentativas de força bruta). '{SHA}' não tem sal e é de passagem única, tornando-o mais rápido de calcular mas mais fraco contra ataques offline se o arquivo algum dia vazar.

Essa é a mesma saída de rodar `htpasswd -m` ou `htpasswd -s`?

Sim. A opção APR1-MD5 reproduz exatamente o algoritmo que a ferramenta htpasswd do Apache usa com a flag -m, e '{SHA}' reproduz o formato de saída da flag -s, então a linha gerada pode ser colada diretamente no seu arquivo .htpasswd sem conversão adicional.

Por que meu nome de usuário não pode conter dois pontos?

O formato do arquivo .htpasswd usa dois pontos para separar o campo de usuário do campo de hash em cada linha. Um caractere de dois pontos dentro do nome de usuário seria mal interpretado pelo Apache como o separador de campo, corrompendo a entrada — esta ferramenta bloqueia essa entrada e mostra um erro.

A Autenticação Básica com .htpasswd é segura por si só?

A Autenticação Básica envia o usuário e a senha codificados em Base64 (não criptografados) no cabeçalho Authorization de cada requisição. Sem HTTPS, as credenciais ficam trivialmente visíveis para quem interceptar o tráfego — sempre sirva conteúdo protegido por Autenticação Básica sobre HTTPS, independentemente de quão forte seja o formato de hash do seu .htpasswd.

Esta ferramenta envia minha senha a um servidor?

Não. Tanto o cálculo '{SHA}' (via SHA-1 do Web Crypto) quanto o APR1-MD5 rodam inteiramente em JavaScript dentro da aba do seu navegador. Nenhuma solicitação de rede é feita — sua senha nunca é transmitida.

Como adiciono uma entrada gerada a um arquivo .htpasswd existente?

Abra o arquivo .htpasswd em um editor de texto e adicione a linha usuário:hash gerada como uma nova linha. Se o usuário já existir, substitua essa linha inteira em vez de adicionar uma duplicata, já que o Apache usará qualquer entrada que encontrar primeiro.

Posso usar isso também para Autenticação Básica do Nginx?

Sim. A diretiva auth_basic_user_file do Nginx lê o mesmo formato de arquivo .htpasswd e suporta tanto APR1-MD5 quanto '{SHA}' (referidos como variantes 'crypt'), embora o Nginx também suporte bcrypt se você precisar de uma opção mais forte não coberta por esta ferramenta.

Por que o hash muda toda vez que clico em Gerar para APR1-MD5?

APR1-MD5 inclui um sal de 8 caracteres gerado aleatoriamente e incorporado diretamente na saída do hash ($apr1$sal$hash), então cada geração produz um hash de aparência diferente para a mesma senha — isso é esperado e correto; o Apache re-deriva e verifica contra o sal incorporado automaticamente no login.

O que acontece se eu deixar o campo de senha vazio?

Nenhum hash é gerado até que tanto o usuário quanto a senha contenham um valor — a área de saída mostra uma mensagem de estado vazio até que ambos sejam preenchidos.

Gerador .htpasswd — Crie Credenciais de Autenticação Básica do Apache

Nosso Gerador .htpasswd cria uma única linha usuário:hash no formato que a ferramenta de linha de comando htpasswd do Apache produz, pronta para colar no seu arquivo .htpasswd para Autenticação Básica HTTP. Escolha entre o formato {SHA} (SHA-1, calculado com a API Web Crypto nativa do navegador) ou APR1-MD5 (a variante salgada e iterada de MD5 do Apache, correspondendo à saída de `htpasswd -m`). Digite um usuário e senha, escolha um formato, e a linha de credencial é atualizada instantaneamente. Nada é enviado a um servidor — todo o cálculo do hash acontece no seu navegador.

Usuário

Senha

Formato de hash

Linha htpasswd

Digite um usuário e senha para gerar uma linha de credencial

Como usar Gerador .htpasswd — Ferramenta Gratuita de Autenticação Básica Apache

1
Digite o nome de usuário com o qual deseja autenticar (dois pontos não são permitidos em nomes de usuário já que são o separador de campo).
2
Digite a senha para esse usuário.
3
Escolha um formato de hash: '{SHA}' (SHA-1, simples e rápido) ou APR1-MD5 (salgado e iterado, corresponde a `htpasswd -m`).
4
Copie a linha usuário:hash resultante e cole-a como uma nova linha no arquivo .htpasswd do seu servidor.

Por que usar Gerador .htpasswd — Ferramenta Gratuita de Autenticação Básica Apache?

O módulo mod_authn_file do Apache para Autenticação Básica lê credenciais de um arquivo .htpasswd onde cada linha tem o formato usuário:hash. Em vez de exigir uma instalação local do utilitário de linha de comando htpasswd do Apache, esta ferramenta calcula exatamente os mesmos formatos de hash diretamente no seu navegador. O formato {SHA} é um digest SHA-1 simples sem sal, prefixado com {SHA} e codificado em base64 — rápido de calcular mas, por não ter sal, mais vulnerável a ataques de tabela rainbow pré-computada se o hash algum dia for exposto. APR1-MD5 (o formato produzido por `htpasswd -m`, prefixado com $apr1$) é a variante própria do Apache, salgada e iterada 1000 vezes, do MD5 crypt, adicionando um sal aleatório por senha e hash repetido para desacelerar significativamente tentativas de força bruta em comparação com um único hash sem sal. Note que a própria Autenticação Básica envia credenciais em uma forma facilmente decodificável (não criptografada) sobre HTTP simples — sempre combine a autenticação .htpasswd com HTTPS para que as credenciais não fiquem expostas em trânsito, independentemente de quão forte seja o formato de hash que protege o arquivo armazenado.

Perguntas frequentes

Ferramentas relacionadas

Gerador de Hash — MD5, SHA-1, SHA-256, SHA-512 Online

Gere hashes MD5, SHA-1, SHA-256, SHA-384 e SHA-512 de qualquer texto instantaneamente. Os cinco algoritmos calculados simultaneamente, no seu navegador. Grátis, sem cadastro necessário.

Gerador de Senhas Aleatórias — Gratuito e Seguro

Gere senhas fortes e aleatórias instantaneamente. Escolha o comprimento de 8 a 64 caracteres, selecione conjuntos de caracteres e copie com um clique. Gratuito, sem cadastro, funciona inteiramente no seu navegador.

Codificador / Decodificador Base64 — Ferramenta Gratuita

Codifique texto em Base64 ou decodifique Base64 de volta em texto simples instantaneamente no seu navegador. Suporta UTF-8 e Unicode corretamente. Grátis, sem cadastro, sem envio de dados a um servidor.