Générateur bcrypt en ligne : générer et vérifier un hachage

bcrypt est une méthode de hachage des mots de passe basée sur le chiffrement Blowfish, conçue pour demander beaucoup de calculs. Un texte chiffré peut être déchiffré avec la bonne clé, mais un hachage ne peut pas être inversé : les applications ne stockent que le hachage et vérifient un mot de passe en le hachant à nouveau. Les fonctions rapides comme SHA-256 servent aux sommes de contrôle ; pour les mots de passe, on utilise des méthodes lentes comme bcrypt ou Argon2id.

Un hash bcrypt de 60 caractères. Pour le texte en clair zap-hosting avec un facteur de coût de 12, il ressemble par exemple à ceci : $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Il commence par la version $2b$, suivie du facteur de coût, d’un sel de 22 caractères et d’une valeur de hash de 31 caractères. Comme le sel est généré à nouveau à chaque fois, tu obtiens un hash différent même pour un texte identique ; la vérification avec « Vérifier le hash » fonctionne malgré tout.

Colle le hachage dans la section « Vérifier un hachage », saisis le texte d’origine et clique sur « Vérifier un hachage ». Le résultat indique « Correspondance », « Aucune correspondance » ou « Format de hachage bcrypt invalide ». Les hachages portant les préfixes $2a$, $2b$ et $2y$ sont reconnus, y compris les hachages $2y$ de PHP. Un facteur de coût hors de la plage 4 à 31 est considéré comme invalide. L’outil génère les nouveaux hachages avec le préfixe $2b$.

Non : c’est techniquement impossible. Bcrypt est une fonction à sens unique : aucune opération inverse ne permet de retrouver le texte d’origine à partir d’un hash. Pour vérifier un mot de passe, les applications hachent à nouveau le texte saisi et le comparent au hash enregistré (c’est ce que fait la section « Vérifier le hash » ci-dessus), sans « déchiffrer » le hash.

Le curseur va de 4 à 15 et sa valeur par défaut est 12. L’outil indique pour chaque valeur : jusqu’à 8, réservé aux tests ; 9 et 10, sous le minimum recommandé ; 11, bonne sécurité ; 12, adapté à la production ; 13 et 14, sensiblement plus lents ; 15, temps de calcul nettement plus long. Chaque niveau supplémentaire double le temps de calcul.

Bcrypt ajoute automatiquement un sel aléatoire à chaque hachage, intégré au hash obtenu. Le même texte en clair produit donc à chaque fois un hash différent de 60 caractères : c’est voulu et offre une protection supplémentaire contre les attaques par tables arc-en-ciel. Pour vérifier un hash, utilise la section « Vérifier le hash » : le sel est déjà inclus dans le hash enregistré.

Oui, bcrypt n’utilise que les 72 premiers octets du texte : tout ce qui suit n’a aucun effet sur le hachage. Les caractères comme ä occupent 2 octets et les émojis souvent 4 ; la limite peut donc être atteinte avant 72 caractères. L’outil compte les octets et affiche un avertissement lors de la génération et de la vérification si ton texte dépasse 72 octets.

Le hachage et la vérification s’effectuent entièrement dans ton navigateur avec la bibliothèque bcryptjs : ton texte n’est envoyé à aucun serveur ni stocké. Cet outil est destiné aux tests et à l’apprentissage. En production, hache les mots de passe directement dans ton application avec une bibliothèque bcrypt fiable.