Hachez un mot de passe avec bcrypt à un coût de 4 à 14, ou vérifiez un mot de passe contre un hachage
Fonctionne dans votre navigateur. Rien de ce que vous saisissez n'est envoyé nulle part.Bcrypt est lent à dessein, et c'est ce qui rend difficile le cassage d'une base de mots de passe volée. Le réglage de coût double le travail à chaque cran, de 4 à 14 ici. Hachez un mot de passe ou vérifiez-en un contre un hachage existant. Tout s'exécute en local, aucun mot de passe n'est transmis.
Cette page a été traduite automatiquement à partir de l'original anglais. Aucune personne n’a encore relu la traduction : c’est la version anglaise qui fait foi. Lire l'original en anglais
Dans l'onglet Hacher, tapez le mot de passe dans Mot de passe ou texte et réglez le Facteur de coût ; 10 à 12 est l'usage courant.
Appuyez sur Hacher et copiez le nouveau hachage $2b$ avec son bouton Copier.
Pour vérifier un mot de passe plus tard, ouvrez l'onglet Vérifier et collez le hachage dans le champ Hachage bcrypt.
Tapez le mot de passe et appuyez sur Vérifier ; le résultat indique Correspondance ou Aucune correspondance.
Ce générateur de hachage bcrypt transforme un mot de passe en hachage bcrypt salé, à un coût de 4 à 14, et vérifie si un mot de passe correspond à un hachage existant. Chaque hachage est découpé en ses parties, la version, le coût, le sel de 22 caractères et le hachage de 31 caractères, pour que vous voyiez ce que la chaîne contient réellement, avec le temps qu'a pris le calcul.
Les développeurs s'en servent pour créer un mot de passe administrateur connu pour des données initiales ou un jeu de test, pour confirmer qu'un hachage en base appartient bien au mot de passe qu'un utilisateur dit avoir choisi, et pour choisir un facteur de coût en voyant la durée de chaque cran sur du matériel ordinaire. Il lit aussi les hachages de PHP ($2y$) et des anciennes bibliothèques ($2a$).
Le hachage s'exécute dans un Web Worker, un fil d'exécution en arrière-plan de votre navigateur, avec la bibliothèque bcryptjs, si bien que la page reste réactive même au coût 14. Rien n'est envoyé. Les mots de passe et les hachages ne sont jamais journalisés ni enregistrés ; seul le coût choisi est mémorisé. Les durées affichées sont proches de celles d'un serveur Node.js utilisant bcryptjs, tandis que les bibliothèques bcrypt natives sont deux à trois fois plus rapides.
Chaque cran de coût double le travail. Le coût 10 prend environ un dixième à un cinquième de seconde sur un portable ; le coût 14 est seize fois plus lent, ce qui se remarque à chaque connexion que traite votre serveur. La plupart des systèmes utilisent 10 à 12. bcrypt ne lit que les 72 premiers octets d'un mot de passe, et l'outil vous avertit si le vôtre est plus long.
Outils liés : Password Strength Checker, Password Generator, HMAC Generator.
Ouvrez l'onglet Vérifier, collez le hachage complet de 60 caractères commençant par $2a$, $2b$ ou $2y$, tapez le mot de passe et appuyez sur Vérifier. L'outil hache à nouveau le mot de passe avec le sel et le coût stockés dans le hachage et compare le résultat. Vous verrez Correspondance ou Aucune correspondance, ainsi que le temps nécessaire.
Non. bcrypt est une fonction à sens unique, pas un chiffrement : aucune clé ne retransforme le hachage en mot de passe. La seule façon de retrouver le mot de passe est de deviner des candidats et de hacher chacun d'eux, ce que le facteur de coût rend volontairement lent. Cet outil peut vérifier une supposition, pas inverser un hachage.
Chaque hachage reçoit un nouveau sel aléatoire de 16 octets, stocké dans les 22 caractères qui suivent le coût. Des sels différents donnent des hachages différents, ce qui empêche les attaquants de casser de nombreux utilisateurs à la fois avec des tables précalculées. Chacun de ces hachages se vérifie pourtant avec le mot de passe, car le sel voyage à l'intérieur du hachage.
Choisissez le coût le plus élevé que votre serveur de connexion peut supporter, en général 10 à 12. Chaque cran double le temps, donc le coût 12 est quatre fois plus lent que le 10. Visez environ un quart de seconde par hachage sur votre matériel de production, et augmentez le coût tous les quelques ans à mesure que les machines accélèrent.
Ces trois préfixes indiquent la version. $2a$ est le format d'origine corrigé, $2b$ est l'actuel, qui corrige un bogue de longueur dans OpenBSD, et $2y$ est le nom que PHP donne à la sortie corrigée de crypt_blowfish. Les trois sont le même algorithme pour des mots de passe normaux et se vérifient ici. $2x$ signale des hachages issus d'une ancienne bibliothèque boguée, à remplacer.
Non. Le hachage et la vérification s'exécutent dans un fil en arrière-plan de votre navigateur avec la bibliothèque bcryptjs. Le mot de passe et le hachage ne sont envoyés nulle part, ni journalisés ni enregistrés ; seul le facteur de coût choisi est mémorisé sur cet appareil. Fermer l'onglet efface tout ce que vous avez tapé.
Toujours bloqué ? Poser une question sur Hachage et vérification bcrypt et toute personne qui connaît la réponse peut répondre. Aucun compte nécessaire.