Saltar al contenido
ToolMug

Usa ↑ ↓ para moverte, Enter para abrir y Esc para cerrar.

Generador y verificador de bcrypt

Crea un hash bcrypt para una contraseña, o comprueba si una contraseña coincide con un hash bcrypt existente — útil para depurar inicios de sesión o crear la contraseña de un administrador. Todo se calcula en tu navegador; la contraseña nunca se envía a un servidor.

Funciona en tu navegador: nada de lo que introduces se sube

Generar un hash

10

Cada paso duplica el trabajo. Hoy en día lo habitual para inicios de sesión es 10–12.

Comprobar una contraseña contra un hash

Cómo se usa

  1. En «Generar un hash», escribe la contraseña, define el factor de coste con el deslizador y haz clic en «Generar hash».
  2. Copia el hash. Cada hash usa una sal aleatoria nueva, así que la misma contraseña da un hash distinto cada vez.
  3. Para comprobar una contraseña, pega el hash bcrypt a la derecha y escribe la contraseña. El resultado indica si coinciden.

Opciones explicadas

Factor de coste
De 4 a 15, por defecto 10. El trabajo es 2 elevado al coste, así que cada paso duplica el tiempo. La página muestra cuánto tardó el hash en tu navegador como referencia.
Prefijo de versión
Los hashes nuevos empiezan por $2b$. Para comprobar, funcionan tal cual los hashes $2a$, $2b$ y los $2y$ que genera password_hash de PHP.
Límite de 72 bytes
bcrypt solo usa los primeros 72 bytes de una contraseña (UTF-8, así que algunos caracteres ocupan 2–4 bytes). La página avisa cuando una contraseña es más larga; el resto se ignora.

Anatomía de un hash

$2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy

Preguntas frecuentes

¿Por qué la misma contraseña da un hash distinto cada vez?

bcrypt genera una sal aleatoria de 16 bytes para cada hash y la guarda dentro del propio hash (los 22 caracteres después del coste). Al comprobar, se toma la sal del hash y se recalcula, así que todos esos hashes verifican correctamente.

¿Se puede desencriptar bcrypt?

No. bcrypt es un hash de un solo sentido; la única forma de comprobar una contraseña es hacer el hash de una candidata y compararlo. Los sitios que ofrecen «desencriptar» bcrypt solo están probando contraseñas habituales una por una.

¿Qué factor de coste debería usar?

Una regla habitual es hacer que un hash tarde unos 100 ms en tu servidor, lo que hoy suele significar 10–12. Demasiado bajo facilita la fuerza bruta; demasiado alto ralentiza los inicios de sesión y carga el servidor.

¿En qué se diferencia de MD5 o SHA-256?

MD5 y SHA-256 están diseñados para ser rápidos (una sola GPU puede probar miles de millones por segundo), así que no son adecuados por sí solos para guardar contraseñas. bcrypt es deliberadamente lento y tiene una sal integrada; se diseñó para guardar contraseñas.

¿Se sube mi contraseña?

No. El hash y la comprobación se ejecutan en JavaScript en tu navegador y funcionan sin conexión.

Privacidad

Esta herramienta funciona por completo en tu navegador. Tus archivos y textos se procesan en tu dispositivo y nunca se suben a nuestros servidores.

Herramientas relacionadas