Gerador de bcrypt online: gere e verifique hashes

bcrypt é um método de hash de senhas baseado na cifra Blowfish e projetado para exigir bastante processamento. A criptografia pode ser revertida com a chave correta; um hash, não. Por isso, aplicativos armazenam apenas o hash e verificam a senha gerando um novo hash dela. Hashes rápidos como SHA-256 são usados para somas de verificação; para senhas, usam-se métodos lentos como bcrypt ou Argon2id.

Um hash bcrypt de 60 caracteres. Para o texto simples zap-hosting com Cost Factor 12, ele se parece, por exemplo, com isto: $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Começa com a versão $2b$, seguida pelo Cost Factor, 22 caracteres de salt e 31 caracteres do valor do hash. Como o salt é gerado novamente a cada execução, você recebe um hash diferente mesmo para o mesmo texto, mas a verificação com “Verificar hash” continua funcionando.

Cole o hash na seção “Verificar hash”, insira o texto original e clique em “Verificar hash”. O resultado será “Correspondência”, “Sem correspondência” ou “Formato de hash bcrypt inválido”. São reconhecidos hashes com os prefixos $2a$, $2b$ e $2y$, incluindo hashes $2y$ do PHP. Um fator de custo fora do intervalo de 4 a 31 é considerado inválido. A ferramenta gera novos hashes com o prefixo $2b$.

Não. Isso é tecnicamente impossível. Bcrypt é uma função unidirecional: não existe uma operação inversa que recupere o texto original a partir de um hash. Por isso, as aplicações verificam uma senha gerando novamente o hash do texto inserido e comparando-o com o hash salvo (é o que faz a seção «Verificar hash» acima), em vez de «descriptografar» o hash.

O controle deslizante vai de 4 a 15, com 12 como padrão. A ferramenta classifica cada valor: até 8, apenas para testes; 9 e 10, abaixo do mínimo recomendado; 11, boa segurança; 12, adequado para produção; 13 e 14, perceptivelmente mais lentos; 15, tempo de processamento muito maior. Cada nível adicional dobra o tempo de processamento.

O Bcrypt adiciona automaticamente um salt aleatório a cada operação de hash, e esse salt faz parte do hash resultante. Por isso, o mesmo texto gera um hash diferente de 60 caracteres a cada vez — isso é intencional e oferece proteção adicional contra ataques de tabelas arco-íris. Para verificar, basta usar a seção «Verificar hash», pois o salt já está incluído no hash armazenado.

Sim. O bcrypt usa apenas os primeiros 72 bytes do texto; o que vier depois não afeta o hash. Caracteres como ä ocupam 2 bytes, e emojis geralmente ocupam 4. Por isso, o limite pode ser atingido antes dos 72 caracteres. A ferramenta conta os bytes e exibe um aviso ao gerar ou verificar um hash se seu texto ultrapassar 72 bytes.

A geração e a verificação de hashes são feitas com a biblioteca bcryptjs inteiramente no seu navegador: seu texto não é enviado a nenhum servidor nem armazenado. A ferramenta foi criada para testes e aprendizado. Em produção, gere os hashes das senhas diretamente no seu aplicativo com uma biblioteca bcrypt confiável.