Bcrypt Generator online: Hash erzeugen und prüfen

bcrypt ist ein Verfahren zum Hashen von Passwörtern auf Basis der Blowfish-Chiffre, das absichtlich rechenintensiv ist. Eine Verschlüsselung lässt sich mit dem passenden Schlüssel umkehren, ein Hash nicht: Anwendungen speichern nur den Hash und prüfen ein Passwort, indem sie es erneut hashen. Schnelle Hashes wie SHA-256 sind für Prüfsummen gedacht, für Passwörter nutzt man langsame Verfahren wie bcrypt oder Argon2id.

Einen 60-stelligen bcrypt-Hash. Für den Klartext zap-hosting mit Cost Factor 12 sieht er z. B. so aus: $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Er beginnt mit der Version $2b$, dann folgen der Cost Factor, 22 Zeichen Salt und 31 Zeichen Hash-Wert. Weil das Salt bei jedem Lauf neu gewürfelt wird, erhältst du auch für denselben Text jedes Mal einen anderen Hash, die Prüfung mit „Hash überprüfen“ passt trotzdem.

Füge den Hash im Bereich „Hash überprüfen“ ein, gib den ursprünglichen Text dazu ein und klicke auf „Hash überprüfen“. Das Ergebnis lautet „Übereinstimmung“, „Keine Übereinstimmung“ oder „Kein gültiges bcrypt-Hash-Format“. Erkannt werden Hashes mit den Präfixen $2a$, $2b$ und $2y$, also auch die $2y$-Hashes aus PHP. Ein Cost Factor außerhalb von 4 bis 31 gilt als ungültig. Neue Hashes erzeugt das Tool mit dem Präfix $2b$.

Nein - das ist technisch nicht möglich. Bcrypt ist eine Einweg-Funktion: Es gibt keine Umkehroperation, die aus einem Hash wieder den ursprünglichen Klartext liefert. Anwendungen prüfen ein Passwort deshalb, indem sie den eingegebenen Text erneut hashen und mit dem gespeicherten Hash vergleichen (genau das macht der „Hash überprüfen“-Bereich oben) - nicht, indem sie den Hash „entschlüsseln“.

Der Regler reicht von 4 bis 15, voreingestellt ist 12. Zu jedem Wert zeigt das Tool eine Einstufung: bis 8 nur zum Testen, 9 und 10 unter dem empfohlenen Minimum, 11 gute Sicherheit, 12 geeignet für den Produktivbetrieb, 13 und 14 spürbar langsamer, 15 deutlich längere Rechenzeit. Jede Stufe mehr verdoppelt die Rechenzeit.

Bcrypt fügt bei jedem Hashing-Vorgang automatisch einen zufälligen Salt hinzu, der Teil des Ergebnis-Hashes ist. Deshalb erzeugt derselbe Klartext bei jedem Aufruf einen anderen 60-Zeichen-Hash - das ist gewollt und schützt zusätzlich vor Rainbow-Table-Angriffen. Zum Überprüfen reicht trotzdem der „Hash überprüfen“-Bereich, da der Salt bereits im gespeicherten Hash enthalten ist.

Ja, bcrypt verwendet nur die ersten 72 Bytes des Textes, alles danach beeinflusst den Hash nicht. Umlaute wie ä belegen 2 Bytes, Emojis oft 4, die Grenze ist also schneller erreicht als 72 Zeichen. Das Tool zählt die Bytes und zeigt beim Erzeugen und beim Prüfen eine Warnung, sobald dein Text länger als 72 Bytes ist.

Hashen und Prüfen laufen mit der Bibliothek bcryptjs komplett in deinem Browser: Dein Text wird an keinen Server gesendet und nirgends gespeichert. Das Tool ist zum Testen und Lernen gedacht. Im Produktivbetrieb hashst du Passwörter direkt in deiner Anwendung mit einer vertrauenswürdigen bcrypt-Bibliothek.