Générateur htpasswd pour les fichiers de mots de passe Apache
Créez une entrée associant un nom d’utilisateur et le hachage d’un mot de passe pour un fichier Apache .htpasswd. Choisissez le format pris en charge par votre serveur, puis copiez l’entrée ou téléchargez un fichier à renommer et à installer.
Chargement de l'outil…
Qu’est-ce qu’une entrée htpasswd ?
Un fichier .htpasswd contient un nom d’utilisateur et un hachage de mot de passe par ligne. Apache peut l’utiliser pour vérifier les identifiants donnant accès à une zone restreinte, par exemple un site de préproduction. Cet outil crée l’entrée ; vous devez encore configurer l’authentification sur votre serveur en indiquant le chemin du fichier.
Le résultat suit la forme username:hash : un nom d’utilisateur, un deux-points, puis un hachage. Il contient le hachage du mot de passe, pas le mot de passe d’origine. Conservez ce dernier pour vous connecter et placez l’entrée générée dans le fichier de mots de passe du serveur.
Besoin d’une longueur précise, d’un jeu de caractères particulier ou de mots lisibles ? Utilisez le générateur de mots de passe et de phrases de passe, puis copiez le résultat choisi ici. Le bouton Mot de passe aléatoire ci-dessus permet de créer rapidement un mot de passe de 24 caractères. Gardez à l’esprit la limite de 72 octets de bcrypt pour les phrases de passe plus longues.
Configurer l’accès avec Apache
Placez le fichier de mots de passe en dehors du répertoire public du site et accordez au serveur web le droit de le lire. Voici un exemple de configuration pour un serveur Apache qui autorise les paramètres d’authentification dans .htaccess :
AuthType Basic
AuthName "Restricted area"
AuthUserFile /absolute/path/outside/public/.htpasswd
Require valid-user
Remplacez le chemin de l’exemple par le chemin absolu réel du fichier. Utilisez HTTPS : l’authentification HTTP Basic transmet les identifiants lors des requêtes et nécessite le chiffrement du transport. Le fichier généré ne configure ni ne protège un site à lui seul. Ces instructions concernent Apache ; Cloudflare Workers ne traite pas les fichiers .htaccess.
Limites de saisie
Le nom d’utilisateur doit occuper de 1 à 255 octets UTF-8, sans deux-points, espaces ni caractères de contrôle, et ne doit pas commencer par #. Le mot de passe ne doit pas être vide ni contenir de caractères de contrôle. Avec bcrypt, il est limité à 72 octets UTF-8 ; avec APR1, cet outil accepte jusqu’à 255 octets. Les émojis et les caractères accentués peuvent occuper plusieurs octets. Les mots de passe dépassant la limite sont refusés, jamais tronqués. Les espaces des mots de passe sont conservés.
Toute modification des identifiants ou des paramètres de hachage efface le résultat précédent. Effacer supprime les identifiants et la sortie, et annule tout calcul en cours. L’outil ne conserve pas votre travail lorsque vous rechargez la page.
Formats de hachage
| Format | Préfixe du hachage | Quand le choisir |
|---|---|---|
| bcrypt | $2y$ | Recommandé si votre serveur Apache le prend en charge ; le coût de calcul est réglable. |
| Apache MD5 / APR1 | $apr1$ | Pour la compatibilité avec une installation qui exige cet ancien format. |
Le coût bcrypt est de 10 par défaut. Dépliez Options pour choisir 11 ou 12, ce qui augmente le travail de calcul. Chaque génération utilise un nouveau sel aléatoire : un même mot de passe produit donc des hachages différents et valides.
Les hachages bcrypt commencent par $2y$ et les hachages Apache MD5 par $apr1$. APR1 est l’ancien format propre à Apache, pas une simple empreinte MD5. Cet outil ne génère ni hachages SHA-1 sans sel, ni hachages DES crypt traditionnels, ni entrées contenant des mots de passe en clair.
Comment utiliser cet outil
- Saisissez un nom d’utilisateur et un mot de passe. Vous pouvez aussi sélectionner Mot de passe aléatoire à côté du champ Mot de passe. Utilisez Afficher le mot de passe pour le vérifier et conservez-le avant de quitter la page : le hachage généré ne permet pas de le récupérer.
- Choisissez le format de hachage. Conservez bcrypt si le serveur le prend en charge. Son coût par défaut est de 10 ; dépliez Options si vous avez besoin d’un coût supérieur, qui allonge le calcul. Utilisez Apache MD5 / APR1 uniquement si une ancienne installation l’exige.
- Sélectionnez Générer l’entrée. Attendez l’apparition de la ligne
username:hash. Si un champ affiche une erreur, corrigez-la et relancez la génération. Toute modification des identifiants ou des paramètres de hachage efface le résultat précédent. - Enregistrez l’entrée. Sélectionnez Copier l’entrée pour l’ajouter à votre fichier de mots de passe, en préservant les autres utilisateurs et en remplaçant toute entrée portant le même nom d’utilisateur. Vous pouvez aussi choisir Télécharger le fichier, puis renommer
htpasswd.txten.htpasswdsur votre serveur.
Conservez le fichier de mots de passe en dehors du répertoire public du site. L’exemple de configuration Apache sur cette page indique comment le référencer ; la génération du fichier seule n’active pas l’authentification. Effacer supprime les identifiants et la sortie, et annule un calcul en cours.
Vos données restent dans votre navigateur
Cet outil traite vos données sur votre appareil. Le texte, les fichiers ou les mots de passe saisis et les résultats produits ne sont envoyés ni à nos serveurs ni à un autre serveur.
Le chargement des pages et de leurs ressources génère des requêtes. En production, les pages chargent aussi Google Tag Manager, Cloudflare Web Analytics et les publicités AdSense ; le code des outils ne transmet ni vos saisies ni vos résultats aux services de mesure ou de publicité. Consultez notre politique de confidentialité.
Pour examiner les requêtes pendant l'utilisation de l'outil, ouvrez les outils de développement de votre navigateur, puis l'onglet Réseau. Faites un essai avec des données fictives.
Consultez Comment examiner les requêtes réseau dans Chrome, Firefox, Edge et Safari.
Pour choisir le secret d’origine, consultez notre guide pour choisir un mot de passe ou une phrase de passe robuste.
Pour aller plus loin
- Manuel Apache htpasswd - les options de la commande permettant de créer et de gérer des fichiers de mots de passe.
- Formats de mots de passe Apache - les formats de hachage pris en charge et leurs préfixes ; une partie de la description de bcrypt reste en anglais.
- Guide Apache sur l’authentification - comment relier un fichier de mots de passe aux règles d’accès du serveur.