Генератор htpasswd: закрыть сайт паролем за минуту

Введите логин и пароль, добавьте строку и скачайте файл .htpasswd. Перенесите его на сервер в каталог, который не раздаётся посетителям. В готовом сниппете замените путь /etc/nginx/.htpasswd на фактический абсолютный путь к файлу.

Директивы auth_basic и auth_basic_user_file поместите в нужный блок server или location. Так можно закрыть весь тестовый сайт или только отдельный раздел. Проверьте конфигурацию командой nginx -t, затем примените её без остановки сервера. Откройте защищённый URL в приватном окне: браузер должен запросить учётные данные.

Для nginx в разных системах доступна разная реализация crypt(). APR1 обычно работает сразу; поддержку bcrypt лучше подтвердить на своём сервере до замены действующего файла.

Скопируйте блок для Apache в .htaccess каталога, который нужно защитить. Укажите в AuthUserFile абсолютный путь к созданному .htpasswd. Файл с хешами держите вне каталога, открытого из браузера. Директива Require valid-user разрешит вход любому пользователю из файла.

Правила из .htaccess действуют только если сервер разрешает их через AllowOverride. Если настройка запрещена, перенесите тот же блок в конфигурацию виртуального хоста и перезагрузите Apache после проверки конфигурации. При добавлении второго пользователя не заменяйте файл одной строкой: скачайте полный файл с обеими строками.

APR1 использует MD5 и тысячи повторений, но по современным меркам этот алгоритм устарел. Он выбран по умолчанию из-за совместимости: для кратковременной защиты тестового окружения это практичный вариант, если пароль уникален и доступ идёт только через HTTPS. Для долгоживущего доступа лучше bcrypt, когда обе стороны его поддерживают.

Хеш в файле не заменяет HTTPS. При Basic Auth браузер отправляет логин и пароль в заголовке Authorization, закодированные в Base64. Это кодирование можно обратить; транспорт должен быть защищён TLS.

У многих онлайн-генераторов пароль отправляется на сервер для вычисления хеша. Здесь APR1 и bcrypt выполняются в вашем браузере, файл создаётся там же. Пароль и хеш не отправляются в API Pugofka; это можно проверить во вкладке Network инструментов разработчика. В события Метрики передаётся только название инструмента.

Скачанный файл и скопированный пароль остаются под вашим контролем. Сохраните пароль в менеджере паролей, проверьте права доступа к .htpasswd на сервере и не кладите его в публичную папку или репозиторий. После окончания тестирования удалите временные учётные записи.