Pular para o conteúdo
ToolMug

Use ↑ ↓ para navegar, Enter para abrir, Esc para fechar.

Gerador e Verificador de Bcrypt

Crie um hash bcrypt para uma senha, ou verifique se uma senha corresponde a um hash bcrypt existente — útil para depurar logins ou criar a senha de um administrador. Tudo é calculado no seu navegador; a senha nunca é enviada a um servidor.

Roda no seu navegador — nada do que você digita é enviado

Gerar um hash

10

Cada etapa dobra o trabalho. 10–12 é típico para logins hoje em dia.

Verificar uma senha contra um hash

Como usar

  1. Em Gerar um hash, digite a senha, defina o fator de custo com o controle deslizante e clique em Gerar hash.
  2. Copie o hash. Cada hash usa um novo salt aleatório, então a mesma senha gera um hash diferente a cada vez.
  3. Para verificar uma senha, cole o hash bcrypt à direita e digite a senha. O resultado mostra se eles correspondem.

Opções explicadas

Fator de custo
De 4 a 15, padrão 10. O trabalho é 2 elevado ao custo, então cada passo dobra o tempo. A página mostra quanto tempo o hash levou no seu navegador, como referência.
Prefixo de versão
Hashes novos começam com $2b$. Para verificação, hashes $2a$, $2b$ e os $2y$ gerados pelo password_hash do PHP funcionam como estão.
Limite de 72 bytes
O bcrypt usa só os primeiros 72 bytes de uma senha (UTF-8, então alguns caracteres ocupam 2–4 bytes). A página avisa quando uma senha é mais longa; o restante é ignorado.

Anatomia de um hash

$2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy

Perguntas frequentes

Por que a mesma senha gera um hash diferente a cada vez?

O bcrypt gera um salt aleatório de 16 bytes para cada hash e o guarda dentro do próprio hash (os 22 caracteres depois do custo). Ao verificar, o salt é retirado do hash e recalculado, então todos esses hashes validam corretamente.

O bcrypt pode ser desencriptado?

Não. O bcrypt é um hash de mão única; a única forma de verificar uma senha é gerar o hash de uma candidata e comparar. Sites que oferecem "desencriptar" bcrypt estão só testando senhas comuns uma por uma.

Que fator de custo devo usar?

Uma regra comum é fazer com que um hash leve cerca de 100 ms no seu servidor, o que hoje geralmente significa 10–12. Muito baixo facilita a força bruta; muito alto deixa os logins lentos e sobrecarrega o servidor.

Qual a diferença em relação ao MD5 ou SHA-256?

O MD5 e o SHA-256 são feitos para ser rápidos — uma única GPU pode testar bilhões por segundo —, então não são adequados por si só para armazenar senhas. O bcrypt é deliberadamente lento e tem um salt embutido; foi criado para armazenar senhas.

Minha senha é enviada a algum servidor?

Não. O hash e a verificação são feitos em JavaScript no seu navegador e funcionam sem conexão.

Privacidade

Esta ferramenta funciona inteiramente no seu navegador. Seus arquivos e textos são processados no seu dispositivo e nunca são enviados aos nossos servidores.

Ferramentas relacionadas