Een .htpasswd-bestand bevat de gebruikersnamen en wachtwoorden waarmee je een map op je website afschermt. Probeert iemand die map te openen, dan toont de browser eerst een inlogvenster, nog voordat WordPress of een ander CMS iets laadt.
Elke regel bevat één gebruiker: een naam, een dubbele punt en een hash van het wachtwoord, bijvoorbeeld jan:$2y$05$ gevolgd door een lange reeks tekens. Het bestand werkt samen met een .htaccess-bestand in de beschermde map, dat met AuthType Basic, AuthUserFile en Require valid-user aangeeft dat alleen bekende gebruikers erin mogen. Het programma htpasswd van Apache maakt zulke regels aan en hasht wachtwoorden met onder meer bcrypt of MD5.
Deze methode heet HTTP Basic-authenticatie. De browser stuurt naam en wachtwoord bij elk verzoek mee, alleen omgezet naar Base64 en niet versleuteld, dus gebruik het uitsluitend op een site met HTTPS. Het is handig voor een testomgeving, een map met downloads of een extra slot op wp-admin, maar het vervangt geen echte gebruikersaccounts.
Op je hosting hoef je het bestand niet zelf te schrijven. In DirectAdmin open je Password Protected Directories (Beveiligde Mappen) en kies je de map. Daarna vul je een titel voor het inlogvenster in en maak je een gebruiker met een sterk wachtwoord aan. Onze LiteSpeed-servers lezen de regels in .htaccess net als Apache. Verschijnt er geen inlogvenster, controleer dan of een eigen .htaccess de instellingen overschrijft.
Geschiedenis
Het htpasswd-bestand verscheen voor het eerst in NCSA HTTPd, de webserver waaruit Apache is voortgekomen. De onderliggende Basic-authenticatie werd in 1993 door Ari Luotonen bij CERN gebouwd en kwam in 1996 in de specificatie van HTTP/1.0 (RFC 1945).
Belangrijke mijlpalen:
- 1993: Basic-authenticatie bij CERN
- 1996: opgenomen in HTTP/1.0 (RFC 1945, mei)
- 1999: RFC 2617 beschrijft Basic- en Digest-authenticatie
- 2015: RFC 7617 vervangt RFC 2617 voor het Basic-schema (september)
- Apache 2.4: htpasswd kan wachtwoorden met bcrypt hashen (Wikipedia)
Bronnen
