Aller au contenu
ToolMug

Utilisez ↑ ↓ pour naviguer, Entrée pour ouvrir, Échap pour fermer.

Générateur et vérificateur bcrypt

Créez un hachage bcrypt pour un mot de passe, ou vérifiez si un mot de passe correspond à un hachage bcrypt existant — utile pour déboguer des connexions ou initialiser un mot de passe administrateur. Tout est calculé dans votre navigateur ; le mot de passe n'est jamais envoyé à un serveur.

Fonctionne dans votre navigateur — rien de ce que vous saisissez n’est envoyé

Générer un hachage

10

Chaque palier double le travail. 10 à 12 est courant pour les connexions aujourd’hui.

Vérifier un mot de passe par rapport à un hachage

Mode d’emploi

  1. Sous Générer un hachage, tapez le mot de passe, réglez le facteur de coût avec le curseur et cliquez sur Générer le hachage.
  2. Copiez le hachage. Chaque hachage utilise un nouveau sel aléatoire, donc le même mot de passe donne un hachage différent chaque fois.
  3. Pour vérifier un mot de passe, collez le hachage bcrypt à droite et tapez le mot de passe. Le résultat indique s'ils correspondent.

Explication des options

Facteur de coût
De 4 à 15, par défaut 10. Le travail est 2 puissance le coût, donc chaque palier double le temps. La page indique la durée prise par le hachage dans votre navigateur, à titre indicatif.
Préfixe de version
Les nouveaux hachages commencent par $2b$. Pour la vérification, les hachages $2a$, $2b$ et les $2y$ produits par PHP password_hash fonctionnent tous tels quels.
Limite de 72 octets
bcrypt n'utilise que les 72 premiers octets d'un mot de passe (UTF-8, donc certains caractères prennent 2 à 4 octets). La page vous avertit quand un mot de passe est plus long ; le reste est ignoré.

Anatomie d’un hachage

$2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy

Questions fréquentes

Pourquoi le même mot de passe donne-t-il un hachage différent chaque fois ?

bcrypt génère un sel aléatoire de 16 octets pour chaque hachage et le stocke à l'intérieur du hachage (les 22 caractères après le coût). La vérification récupère le sel dans le hachage et recalcule, donc tous ces hachages sont valides.

Peut-on déchiffrer bcrypt ?

Non. bcrypt est un hachage à sens unique ; la seule façon de vérifier un mot de passe est de hacher un candidat et de comparer. Les sites qui proposent de « déchiffrer » bcrypt ne font qu'essayer des mots de passe courants un par un.

Quel facteur de coût utiliser ?

Une règle courante est de viser un hachage d'environ 100 ms sur votre serveur, ce qui correspond aujourd'hui généralement à 10–12. Trop bas facilite la force brute ; trop élevé ralentit les connexions et charge le serveur.

En quoi est-ce différent de MD5 ou SHA-256 ?

MD5 et SHA-256 sont conçus pour être rapides — un seul GPU peut en tester des milliards par seconde — donc ils ne convenaient pas seuls pour stocker des mots de passe. bcrypt est délibérément lent et intègre un sel ; il a été conçu pour le stockage de mots de passe.

Mon mot de passe est-il envoyé quelque part ?

Non. Le hachage et la vérification s'exécutent en JavaScript dans votre navigateur et fonctionnent hors ligne.

Confidentialité

Cet outil fonctionne entièrement dans votre navigateur. Vos fichiers et vos textes sont traités sur votre appareil et ne sont jamais envoyés à nos serveurs.

Outils similaires