Generatore bcrypt online: genera e verifica hash

bcrypt è un metodo per creare hash delle password basato sul cifrario Blowfish, progettato per richiedere molte risorse di calcolo. Una cifratura può essere invertita con la chiave giusta, un hash no: le applicazioni memorizzano solo l’hash e verificano una password calcolandone nuovamente l’hash. Gli hash veloci come SHA-256 sono pensati per i checksum; per le password si usano metodi lenti come bcrypt o Argon2id.

Un hash bcrypt di 60 caratteri. Per il testo in chiaro zap-hosting con Cost Factor 12, un esempio è $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Inizia con la versione $2b$, seguita dal Cost Factor, da 22 caratteri di salt e da 31 caratteri del valore hash. Poiché il salt viene generato di nuovo a ogni esecuzione, ottieni ogni volta un hash diverso anche per lo stesso testo; la verifica con «Verifica hash» funziona comunque.

Incolla l’hash nella sezione «Verifica hash», inserisci il testo originale e fai clic su «Verifica hash». Il risultato sarà «Corrispondenza», «Nessuna corrispondenza» o «Formato hash bcrypt non valido». Sono riconosciuti gli hash con i prefissi $2a$, $2b$ e $2y$, inclusi quindi gli hash $2y$ di PHP. Un cost factor fuori dall’intervallo da 4 a 31 è considerato non valido. Lo strumento genera i nuovi hash con il prefisso $2b$.

No, è tecnicamente impossibile. Bcrypt è una funzione unidirezionale: non esiste un'operazione inversa che permetta di risalire dal hash al testo originale. Le applicazioni verificano quindi una password calcolando di nuovo l'hash del testo inserito e confrontandolo con quello memorizzato (è ciò che fa la sezione «Verifica hash» qui sopra), non «decrittografando» l'hash.

Il cursore va da 4 a 15 e il valore predefinito è 12. Per ogni valore, lo strumento mostra una valutazione: fino a 8 solo per i test, 9 e 10 sotto il minimo consigliato, 11 offre una buona sicurezza, 12 è adatto alla produzione, 13 e 14 sono sensibilmente più lenti, 15 richiede un tempo di calcolo molto più lungo. Ogni incremento raddoppia il tempo di calcolo.

Bcrypt aggiunge automaticamente un salt casuale a ogni operazione di hashing; il salt diventa parte dell'hash risultante. Per questo, lo stesso testo in chiaro produce a ogni esecuzione un hash diverso di 60 caratteri: è il comportamento previsto e offre una protezione aggiuntiva contro gli attacchi con rainbow table. Per la verifica basta usare la sezione «Verifica hash», poiché il salt è già incluso nell'hash salvato.

Sì, bcrypt usa solo i primi 72 byte del testo: tutto ciò che segue non influisce sull’hash. Caratteri come ä occupano 2 byte e le emoji spesso 4, quindi il limite può essere raggiunto prima di 72 caratteri. Lo strumento conta i byte e mostra un avviso durante la creazione e la verifica se il tuo testo supera i 72 byte.

La creazione e la verifica degli hash avvengono interamente nel tuo browser con la libreria bcryptjs: il tuo testo non viene inviato ad alcun server né salvato. Lo strumento è pensato per test e apprendimento. In produzione, crea gli hash delle password direttamente nella tua applicazione con una libreria bcrypt affidabile.