Eigentlich ist HTTP Basic-Auth ja eine durchaus feine Sache. Schnell eingerichtet und für die meisten Zwecke ausreichend sicher. Aber es gibt auch Nachteile, so können viele (alle?) Browsererweiterungen von gängigen Kennwortsafes diese nicht automatisch ausfüllen. Schlimmer noch, in vielen Browsern verhindert der Anmeldedialog, dass ich überhaupt an meinen Kennwortsafe herankomme (zumindest wenn diese als Browsererweiterung implementiert ist), weil das Fenster den Fokus hat und auch nicht abgeben mag. Also Anmeldevorgang abbrechen, Zugangsdaten raussuchen, neu versuchen. Nervt. Bliebe noch ein Benutzername und Kennwort die man sich merken kann, auch nicht schön.

Schön wäre SSO (und nicht nur, weil es insbesondere komfortabler ist, als das oben geschilderte Szenario). Viele Dienste für Kennwortsafes bieten SAML-IdP (Identity Provider) von Haus aus gleich mit an und wenn man sowas nicht hat, ein IdP ist z.B. mit simplesamlphp auch recht schnell selbst aufgesetzt. Aber wie bringt man das jetzt Apache bei?

Hier hilft mod_auth_mellon (https://github.com/latchset/mod_auth_mellon).

Eine regelmäßige Änderung von Kennwörtern ist unter gängigen Betriebssystemen kein Problem. Aber da gibt es ja auch noch SSH-Keys um sich an Servern anzumelden. Auch ein SSH-Key kann natürlich mit einem Kennwort geschützt werden. Der Server an dem man sich damit anmeldet kann aber weder prüfen ob der Key mit einem Kennwort geschützt ist, noch wann dieses gesetzt wurde. Es mag eine Spitzfindigkeit sein, aber gerade die machen ja oft besonders Spaß. In vielen Dokumenten zum Datenschutz wird eine regelmäßige Änderung von Kennwörtern gefordert, ist das bei einem SSH-Key der Fall? Und wie stellt der Admin das sicher?