Hash e verifica bcrypt
Genera hash bcrypt delle password e verifica gli hash contro il testo in chiaro
Su questo strumento
Fai l’hash di una password con bcrypt al cost factor scelto, o verifica un testo in chiaro contro un hash esistente — entrambi interamente nel browser, che è esattamente ciò che vuoi quando la cosa in prova è una password. Un ispettore di hash scompone inoltre qualsiasi hash bcrypt in versione, cost e salt.
Bcrypt resta una scelta solida per la memorizzazione delle password perché è deliberatamente lento e con salt per password: il cost factor raddoppia il lavoro a ogni incremento, quindi cost 12 significa 4096 iterazioni del setup del cifrario sottostante. La lettura dei tempi mostra quanto impiega il cost scelto, rendendo concreto il compromesso sicurezza/latenza.
La verifica è il bisogno quotidiano più comune: confermare che un hash in un database corrisponde a una password nota senza tirare su il codice dell’app. Incolla entrambi, ottieni un sì o un no.
Domande frequenti
- Quale cost factor dovrei usare in produzione?
- La regola classica: il più alto che il tuo budget di latenza di login consente, oggi comunemente 10–13. Punta a 100–300 ms per hash sull’hardware di produzione. Il JavaScript nel browser è più lento del nativo, quindi il tempo mostrato qui è un limite superiore per i tuoi server.
- Perché la stessa password dà un hash diverso ogni volta?
- Per ogni hash viene generato un salt casuale di 16 byte, memorizzato dentro la stringa dell’hash stessa. È così per design — password identiche ottengono hash diversi, sconfiggendo le rainbow table precalcolate. La verifica rilegge il salt dall’hash, ed è per questo che il confronto funziona.
- Cosa significano le parti di un hash bcrypt?
- $2b$12$ + 53 caratteri: 2b è la versione dell’algoritmo, 12 il cost (2^12 iterazioni), i successivi 22 caratteri il salt e gli ultimi 31 il digest — tutto nell’alfabeto base64 proprio di bcrypt. L’ispettore sotto lo strumento scompone qualsiasi hash in questo modo.
- Bcrypt è ancora raccomandato rispetto ad Argon2?
- Argon2id è oggi la prima scelta per i nuovi sistemi (la memory-hardness resiste al cracking su GPU). Bcrypt resta accettabile e onnipresente — il consiglio pratico è: non migrare in preda al panico uno storage bcrypt funzionante, ma scegli Argon2id per i progetti greenfield. Entrambi sono anni luce oltre gli hash veloci come SHA-256.