Generador bcrypt online: genera y verifica hashes

bcrypt es un método para crear hashes de contraseñas basado en el cifrado Blowfish y diseñado para requerir muchos recursos de cálculo. El cifrado puede revertirse con la clave adecuada; un hash, no. Las aplicaciones solo guardan el hash y verifican una contraseña calculándolo de nuevo. Los hashes rápidos como SHA-256 sirven para sumas de comprobación; para contraseñas se usan métodos lentos como bcrypt o Argon2id.

Un hash bcrypt de 60 caracteres. Para el texto sin cifrar zap-hosting con un factor de coste de 12, tiene, por ejemplo, este aspecto: $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Comienza con la versión $2b$, seguida del factor de coste, 22 caracteres de salt y 31 caracteres del valor hash. Como el salt se genera de nuevo en cada ejecución, obtienes un hash distinto incluso para el mismo texto; aun así, la comprobación con «Verificar hash» funciona.

Pega el hash en «Verificar hash», introduce el texto original y haz clic en «Verificar hash». El resultado será «Coincide», «No coincide» o «Formato de hash bcrypt no válido». Se reconocen hashes con los prefijos $2a$, $2b$ y $2y$, incluidos los hashes $2y$ de PHP. Un factor de coste fuera del intervalo de 4 a 31 se considera no válido. La herramienta genera los hashes nuevos con el prefijo $2b$.

No. Técnicamente no es posible. Bcrypt es una función unidireccional: no existe una operación inversa que permita recuperar el texto original a partir de un hash. Por eso, las aplicaciones comprueban una contraseña generando de nuevo el hash del texto introducido y comparándolo con el hash almacenado (exactamente lo que hace la sección «Comprobar hash» de arriba), no «descifrando» el hash.

El control deslizante va de 4 a 15 y tiene 12 como valor predeterminado. La herramienta valora cada nivel: hasta 8, solo para pruebas; 9 y 10, por debajo del mínimo recomendado; 11, buena seguridad; 12, adecuado para producción; 13 y 14, notablemente más lentos; 15, tiempo de cálculo mucho mayor. Cada nivel adicional duplica el tiempo de cálculo.

Bcrypt añade automáticamente una sal aleatoria en cada operación de hash, que queda incluida en el hash resultante. Por eso, el mismo texto sin cifrar genera un hash distinto de 60 caracteres en cada ejecución. Es intencionado y ofrece protección adicional frente a ataques con tablas arcoíris. Para comprobarlo, basta con usar la sección «Comprobar hash», ya que la sal está incluida en el hash almacenado.

Sí. bcrypt solo utiliza los primeros 72 bytes del texto; el resto no influye en el hash. Caracteres como ä ocupan 2 bytes y los emojis, a menudo 4, por lo que puedes alcanzar el límite antes de llegar a 72 caracteres. La herramienta cuenta los bytes y muestra una advertencia al generar y verificar hashes si tu texto supera los 72 bytes.

La generación y verificación de hashes se realizan íntegramente en tu navegador con la biblioteca bcryptjs: tu texto no se envía a ningún servidor ni se almacena. La herramienta está pensada para hacer pruebas y aprender. En producción, genera los hashes de las contraseñas directamente en tu aplicación con una biblioteca bcrypt de confianza.