Generador y Verificador de Bcrypt
Hashea contraseñas con bcrypt y verifica hashes contra texto plano. Elige tu factor de costo. Se ejecuta completamente en tu navegador — ningún dato se envía a ningún servidor.
Generador y Verificador de Bcrypt
Mayor costo = más seguro pero más lento de calcular.
Acerca de bcrypt
Bcrypt es una función de hash de contraseña diseñada para ser lenta y computacionalmente costosa, haciendo que los ataques de fuerza bruta sean impracticables. A diferencia de SHA-256, que está diseñado para ser rápido, bcrypt se ralentiza deliberadamente con cada incremento del factor de costo. El factor de costo duplica el trabajo por incremento — costo 11 es el doble de lento que costo 10.
Tus datos permanecen en tu navegador — ningún dato se envía a ningún servidor.
¿Qué es bcrypt?
Bcrypt es un algoritmo de hash de contraseña diseñado por Niels Provos y David Mazières en 1999. A diferencia de funciones hash criptográficas de propósito general como SHA-256, bcrypt está específicamente diseñado para ser lento e intensivo en CPU, lo que lo hace resistente a ataques de fuerza bruta y diccionario. También incorpora un salt aleatorio automáticamente, por lo que contraseñas idénticas producen hashes diferentes cada vez.
Elegir un factor de costo
El factor de costo (también llamado factor de trabajo o rondas) controla lo computacionalmente costoso que es el hash. Es un logaritmo base-2 — costo 10 realiza 2¹⁰ = 1024 iteraciones, costo 11 realiza 2048, y así sucesivamente. OWASP recomienda un costo mínimo de 10, y 12 o superior para nuevas aplicaciones a medida que el hardware mejora. Apunta a un tiempo de hash de 100–300 ms en tu entorno de producción.
Cómo usar
- Selecciona la pestaña Hash, ingresa tu contraseña en texto plano y elige un factor de costo.
- Haz clic en Generar Hash — el hash bcrypt aparece en el cuadro de salida.
- Copia el hash para almacenarlo en tu base de datos.
- Para verificar más tarde: cambia a la pestaña Verificar, ingresa el texto plano y el hash almacenado, luego haz clic en Verificar.
Preguntas Frecuentes
- ¿Puedo invertir un hash bcrypt para obtener la contraseña original?
- No. Bcrypt es una función hash unidireccional — es computacionalmente inviable invertir un hash bcrypt. La única forma de verificar una contraseña es hashear el candidato y comparar, que es exactamente lo que hace la pestaña Verificar.
- ¿Por qué bcrypt produce un hash diferente cada vez para la misma entrada?
- Bcrypt genera automáticamente un salt aleatorio de 128 bits para cada hash. El salt está incrustado en la cadena de hash (el prefijo $2b$10$... contiene tanto el costo como el salt). Esto significa que dos hashes de la misma contraseña se verán diferentes pero ambos verificarán correctamente.
- ¿Cuál es la longitud máxima de entrada para bcrypt?
- Bcrypt trunca la entrada en 72 bytes. Si tu contraseña en texto plano es más larga que 72 bytes (aproximadamente 72 caracteres ASCII, menos para caracteres multibyte), solo se hashean los primeros 72 bytes. Para frases de contraseña muy largas, considera pre-hashear con SHA-256 antes de bcrypt, o usa Argon2 en su lugar.
- ¿Se sigue recomendando bcrypt o debo usar Argon2?
- Bcrypt sigue siendo una opción fuerte y ampliamente compatible para hash de contraseña y es seguro de usar. Argon2 (ganador de la Competencia de Hash de Contraseña) es la recomendación moderna para nuevos sistemas, ya que también es resistente a memoria, haciendo que los ataques basados en GPU sean más costosos. Ambos son enormemente mejores que usar SHA-256 o MD5 sin procesar para contraseñas.