Bac à sable bcrypt
Hachez des mots de passe avec bcrypt (coût 4 à 16), utilisez votre sel de 22 caractères, voyez le hash décomposé en version, coût, sel et hash, et vérifiez des hashs.
0 octets utilisés sur 72
2^coût = 1 024 tours
Laissez vide pour utiliser un sel aléatoire.
bcrypt (Provos et Mazières, 1999) est un hachage adaptatif : chaque +1 de coût double le travail. Choisissez le coût le plus élevé qui garde la connexion sous ~250 ms sur votre serveur (10 ou plus). La sortie utilise le préfixe $2b$ ; les hashs $2a$ et $2y$ se vérifient de la même façon.
Vérifier un mot de passe avec un hash
S'exécute entièrement dans votre navigateur. Vos données ne sont jamais envoyées.
Qu'est-ce que Bac à sable bcrypt ?
Expérimentez avec bcrypt : choisissez le facteur de coût, saisissez un sel précis ou utilisez un sel aléatoire, et voyez le hash obtenu décomposé en version, coût, sel et hash, avec le temps de calcul. Le vérificateur contrôle les mots de passe par rapport aux hashs $2a$, $2b$ et $2y$.
Comment utiliser Bac à sable bcrypt
- Saisissez le Mot de passe ; l’indication montre combien des 72 octets de bcrypt sont utilisés.
- Réglez le Facteur de coût (4 à 16) et, si vous voulez, un Sel (22 caractères, facultatif).
- Cliquez sur Hacher pour voir le hash encodé, ses parties et le temps écoulé.
- Collez un hash bcrypt dans le panneau de vérification pour tester un mot de passe.
Exemple
Password password, cost 4, salt abcdefghijklmnopqrstuu
$2b$04$abcdefghijklmnopqrstuughE8Ev8uGFaUgY2cNEySvxngrb/Jzdm
Identique à la sortie de pyca/bcrypt pour le même mot de passe et le même sel.
Quand utiliser Bac à sable bcrypt
Utilisez-le pour reproduire un hash bcrypt avec un sel connu, choisir un facteur de coût en mesurant les temps, ou vérifier un hash de base de données pendant un débogage. Préférez Argon2id pour les nouvelles conceptions.
Comment fonctionne Bac à sable bcrypt
bcrypt (Provos et Mazières, 1999) exécute 2^coût fois la coûteuse préparation de clé EksBlowfish, puis chiffre « OrpheanBeholderScryDoubt » 64 fois. Le sel de 16 octets et le résultat de 23 octets sont écrits dans l’alphabet Base64 propre à bcrypt (./A–Za–z0–9). Le calcul utilise hash-wasm (WebAssembly). Les mots de passe de plus de 72 octets UTF-8 sont refusés car bcrypt ignore tout après l’octet 72.
Cas d'utilisation courants
- Mesurer le temps de chaque facteur de coût
- Reproduire un vecteur de test avec un sel fixe
- Vérifier qu’un hash PHP $2y$ est valide
- Enseigner la structure des hashs bcrypt
Questions Fréquentes
Quel facteur de coût utiliser ?
Au moins 10 (OWASP) ; choisissez la valeur la plus haute qui garde le hachage sous environ 250 ms sur votre serveur. Chaque +1 double le temps.
Quelle différence entre $2a$, $2b$ et $2y$ ?
Ils marquent des corrections de bogues d’anciennes implémentations. Pour des mots de passe jusqu’à 72 octets, ils donnent le même hash, et les trois se vérifient ici.
Pourquoi mon long mot de passe est-il refusé ?
bcrypt n’utilise que les 72 premiers octets. Tronquer en silence ferait coïncider des mots de passe différents, l’outil refuse donc.