Apache & Nginx htpasswd Generator

Apache & Nginx htpasswd Generator (Bcrypt, APR1-MD5, SHA-1) – Entwickler-Handbuch

Erzeugen Sie sichere HTTP-Basic-Auth-Passwörter und .htpasswd-Einträge mit Bcrypt, Apache MD5 (APR1) und SHA-1.

Voreinstellungen:
Authentifizierungsdaten & Konfiguration
Entropy: 105 bitsMilitary-Grade
Bcrypt-Kostenfaktor (Rounds):10 (1,024 iterations)
4 (Fastest)10 (Default)14 (Maximum)
Apache Revision Prefix:
Lines: 1•Chars: 66•Bytes: 66 B
admin:$2b$10$w4WnU2PEWHzu1Pa6HlGbCOPYBHIG9ZjKHewKGW3WtggWnvjIRM0Ly
htpasswd View•bcrypt Engine(Rounds 10)
Konfigurierte Konten
1 User Account (66 Bytes)
Aktiver Algorithmus
Bcrypt ($2y$, 10 Rounds)
Passwort-Stärke
GPU Resistant (High Work Factor)

Kryptografische Hash-Funktionen (Bcrypt, APR1-MD5, SHA-1)

Unterstützt modernes Eksblowfish-Bcrypt ($2y$/$2a$), Apache Portable Runtime MD5 ($apr1$) mit 1.000 Salt-Iterationen sowie klassisches Base64-SHA-1 direkt im Speicher.

Dual-Server-Architektur (Apache httpd & Nginx)

Erzeugt syntaktisch valide .htpasswd-Zeilen sowie einsatzbereite Nginx-auth_basic-Konfigurationen, Apache-AuthUserFile-Direktiven und Kubernetes/Docker-Secrets.

Zero-Knowledge & Lokale Ausführung

Sämtliche Salt-Generierungen, MD5-Iterationen und Hash-Berechnungen laufen zu 100% lokal im Browser-Sandbox-Modus ohne Datentransfer über das Netzwerk.

Technische Referenz & Architektur-Leitfaden

Apache & Nginx htpasswd Generator (Bcrypt, APR1-MD5, SHA-1) – Entwickler-Handbuch — Referenz-Leitfaden

Erzeugen Sie sichere HTTP-Basic-Auth-Passwörter und .htpasswd-Einträge mit Bcrypt, Apache MD5 (APR1) und SHA-1.

Wichtige Parameter & Steuerelemente

usernamestring

Benutzername für die HTTP-Basic-Authentifizierung. Darf keine Doppelpunkte (:) oder Steuerzeichen enthalten.

Standard: admin
passwordstring

Klartext-Passwort, das als kryptografischer Hash in die .htpasswd-Datei geschrieben wird.

Standard: ••••••••
algorithmselect

Kryptografischer Hash-Algorithmus: Bcrypt ($2y$), Apache APR1-MD5 ($apr1$), SHA-1 ({SHA}) oder Unix Crypt.

Standard: bcrypt
costnumber

Bcrypt-Kostenfaktor (Runden = 2^cost, Bereich 4–31). Bestimmt den CPU-Aufwand pro Verifizierung.

Standard: 10

Profi-Tipps & Best Practices

In Produktivumgebungen immer Bcrypt bevorzugen

Verwenden Sie nach Möglichkeit Bcrypt ($2y$). Moderne Versionen von Apache (2.4+) und Nginx (1.0.3+) unterstützen Bcrypt nativ. Dank dynamischer Arbeitsfaktoren ist Bcrypt resistent gegen GPU-gestützte Brute-Force-Angriffe.

.htpasswd außerhalb des DocumentRoot ablegen

Speichern Sie die .htpasswd-Datei niemals im öffentlichen Webverzeichnis. Platzieren Sie sie stattdessen unter /etc/nginx/.htpasswd oder /etc/apache2/.htpasswd und setzen Sie restriktive Rechte (chmod 640 oder 600).

Veraltetes SHA-1 und einfaches MD5 vermeiden

Ungesalzenes SHA-1 ({SHA}) und einfaches MD5 sind kryptografisch gebrochen. Moderne GPUs berechnen Milliarden Hashes pro Sekunde, wodurch Passwörter innerhalb von Minuten per Wörterbuchangriff geknackt werden können.

Unix-Zeilenumbrüche (LF) sicherstellen

Achten Sie darauf, dass die .htpasswd-Datei Unix-Zeilenumbrüche (\n) verwendet. Windows-CRLF-Umbrüche (\r\n) können das Hash-Ende beschädigen und zu wiederholten Anmeldefehlern führen.

Häufige Fallstricke & Fehlerbehebung

Nginx meldet HTTP 500 Internal Server Error nach Aktivierung von auth_basic

Überprüfen Sie /var/log/nginx/error.log. Häufige Ursachen sind ein falscher Dateipfad in auth_basic_user_file oder fehlende Leserechte für den Webserver-Nutzer (z. B. www-data). Führen Sie 'chmod 644 /etc/nginx/.htpasswd' aus.

Apache lehnt Anmeldedaten trotz korrektem Passwort mit 'password mismatch' ab

Prüfen Sie, ob Ihre Apache-Installation Bcrypt unterstützt (erfordert apr-util 1.5+). Kontrollieren Sie zudem, ob versehentlich Windows-CRLF-Zeilenumbrüche oder Leerzeichen in der Zeile enthalten sind.

Doppelpunkte im Benutzernamen führen zu Syntaxfehlern

Das .htpasswd-Format nutzt den ersten Doppelpunkt als Trennzeichen zwischen Benutzername und Hash. Benutzernamen dürfen daher keinen Doppelpunkt (:) enthalten. Im Passwort ist der Doppelpunkt hingegen zulässig.

Häufig gestellte Fragen (FAQ)

Was unterscheidet APR1-MD5 von herkömmlichem MD5?▼

APR1 ($apr1$) ist ein von Apache entwickelter, iterativer Hashing-Algorithmus, der 1.000 MD5-Runden mit einem individuellen Salt kombiniert. Einfaches MD5 arbeitet ohne Salt und ist für Passwörter völlig ungeeignet.

Unterstützt Nginx standardmäßige Apache-.htpasswd-Dateien?▼

Ja. Das Nginx-Modul ngx_http_auth_basic_module ist vollständig kompatibel mit Apache-.htpasswd-Dateien und unterstützt Bcrypt ($2a$, $2b$, $2y$), APR1-MD5 sowie Unix-Crypt.

Welcher Bcrypt-Kostenfaktor ist für Webserver-Authentifizierung ideal?▼

Ein Kostenfaktor zwischen 10 und 12 bietet den besten Kompromiss. Bei Faktor 10 dauert eine Verifizierung ca. 50–100 ms, was Brute-Force-Angriffe wirksam verlangsamt, ohne legitime Logins merklich zu verzögern.

Wie binde ich eine .htpasswd-Datei in Nginx ein?▼

Fügen Sie im gewünschten location- oder server-Block 'auth_basic "Geschützter Bereich";' und 'auth_basic_user_file /etc/nginx/.htpasswd;' ein. Überprüfen Sie die Syntax mit 'nginx -t' und laden Sie Nginx anschließend neu.

Verwandte Werkzeuge & Dienstprogramme

Alle Werkzeuge →
JWT-Token-Decoder & Security-Inspectorsecurity

JSON Web Tokens dekodieren, Header- und Payload-Claims prüfen, Ablaufzeit berechnen und Integrität lokal verifizieren.

Werkzeug öffnen→
Kryptografischer Passwort- & Passphrasen-Generatorsecurity

Erzeugen Sie kryptografisch sichere Passwörter mit hoher Entropie, einprägsame Diceware-Passphrasen, PINs und API-Token mit nativer Web Crypto CSPRNG nach NIST SP 800-63B.

Werkzeug öffnen→
Kryptografischer Hash-Generator & Prüfsummen-Rechnersecurity

Berechnen Sie sofort SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak und CRC32 lokal im Browser mit 100% nativer Web Crypto API Sicherheit.

Werkzeug öffnen→
JSON Web Token (JWT) Debugger & Signatur-Verifizierersecurity

Dekodieren, untersuchen und verifizieren Sie HMAC- und RSA-Signaturen 100% lokal im Browserspeicher via Web Crypto API. Null Cloud-Übertragung.

Werkzeug öffnen→
Passwort-Sicherheitsprüfer & Entropie-Rechnersecurity

Bewerten Sie die Widerstandskraft von Passwörtern gegen Brute-Force-Angriffe mit Shannon-Entropie, zxcvbn-Mustererkennung und Knackzeit-Schätzungen.

Werkzeug öffnen→
Client-seitiges AES-GCM / CBC Verschlüsselungs- & Entschlüsselungs-Toolsecurity

Hardwarebeschleunigte authentifizierte AES-256-Verschlüsselung direkt im Browser via Web Crypto API. Null Server-Speicherung.

Werkzeug öffnen→