Outil de hachage de mot de passe
Hachez un mot de passe avec Argon2id, bcrypt, scrypt ou PBKDF2 selon les réglages OWASP et un sel aléatoire, puis vérifiez un mot de passe par rapport à un hash.
Chaque clic génère un nouveau sel aléatoire de 16 octets : le hash change donc à chaque fois, et tous se vérifient. Les réglages suivent l’OWASP Password Storage Cheat Sheet. Conservez la chaîne encodée entière : elle contient l’algorithme, les paramètres, le sel et le hash.
Vérifier un mot de passe avec un hash
S'exécute entièrement dans votre navigateur. Vos données ne sont jamais envoyées.
Qu'est-ce que Outil de hachage de mot de passe ?
Cet outil produit en un clic un hash de mot de passe prêt à stocker, avec les réglages minimaux de l’aide-mémoire OWASP Password Storage et un nouveau sel aléatoire. Un vérificateur intégré compare un mot de passe à toute chaîne de hash bcrypt, Argon2, scrypt ou PBKDF2.
Comment utiliser Outil de hachage de mot de passe
- Saisissez le mot de passe dans le champ Mot de passe.
- Choisissez un Algorithme ; Argon2id est recommandé.
- Cliquez sur Hacher et copiez le Hash encodé.
- Pour vérifier un mot de passe, collez un hash dans Vérifier un mot de passe avec un hash, saisissez le mot de passe et cliquez sur Vérifier.
Exemple
Password hunter2, Argon2id
$argon2id$v=19$m=19456,t=2,p=1$ojaAuqtpNZXLTJQVRP8teg$52egAc/OkuGZUe+ByQP/IxYP4pL6RNdbCi6tx97q308
Le sel est aléatoire : vous obtiendrez une chaîne différente à chaque fois, et chacune est valide.
Quand utiliser Outil de hachage de mot de passe
Utilisez-le pour créer des jeux de test, initialiser un compte administrateur, voir à quoi ressemble un format de hash ou vérifier un mot de passe pendant un débogage. En production, hachez les mots de passe côté serveur avec une bibliothèque maintenue ; ne hachez jamais côté client à la place du serveur.
Comment fonctionne Outil de hachage de mot de passe
Argon2id (m=19 MiB, t=2, p=1), bcrypt (coût 12) et scrypt (N=2^17, r=8, p=1) sont calculés avec hash-wasm (WebAssembly) ; PBKDF2-HMAC-SHA-256 avec 600 000 itérations utilise la Web Crypto API du navigateur. Chaque exécution utilise un nouveau sel de 16 octets issu de crypto.getRandomValues. Formats de sortie : bcrypt $2b$, chaîne PHC Argon2 $argon2id$v=19$m=…,t=…,p=…$salt$hash, $scrypt$ln=…,r=…,p=…$salt$hash et passlib $pbkdf2-sha256$iterations$salt$hash. La vérification analyse la chaîne et recalcule le hash avec les paramètres stockés (comparaison en temps constant).
Cas d'utilisation courants
- Créer un mot de passe administrateur haché pour un seed de base de données
- Vérifier qu’un hash bcrypt stocké correspond à un mot de passe
- Générer des jeux de test pour du code d’authentification
- Comparer les formats de hash de différents algorithmes
Note de Sécurité
Tout s’exécute dans votre navigateur. Évitez de coller des hashs de mots de passe de production avec les vrais mots de passe sur un ordinateur partagé.
Questions Fréquentes
Quel algorithme choisir ?
Argon2id pour les nouveaux systèmes. Utilisez scrypt ou bcrypt si votre plateforme n’a pas Argon2, et PBKDF2 quand la conformité FIPS-140 est exigée.
Pourquoi le hash est-il différent à chaque fois ?
Un nouveau sel aléatoire est utilisé pour chaque hash. Le sel est stocké dans la chaîne encodée, la vérification fonctionne donc toujours.
Peut-on inverser un hash ?
Non. Un attaquant ne peut que deviner des mots de passe et hacher chaque essai, ce que ces algorithmes lents rendent coûteux.
Quels formats de hash peut-on vérifier ?
bcrypt ($2a$, $2b$, $2y$), chaînes PHC Argon2, chaînes $scrypt$, passlib $pbkdf2-sha1/sha256/sha512$ et hashs Django pbkdf2_sha256$.