Gerador e Verificador Bcrypt
Faça hash de senhas com bcrypt e verifique hashes em relação a texto plano. Escolha seu fator de custo. Executa inteiramente em seu navegador — nenhum dado é enviado para nenhum servidor.
Gerador e Verificador Bcrypt
Custo maior = mais seguro, mas mais lento para calcular.
Sobre bcrypt
Bcrypt é uma função de hash de senha projetada para ser lenta e computacionalmente cara, tornando os ataques de força bruta impráticos. Ao contrário do SHA-256, que é projetado para ser rápido, o bcrypt deliberadamente desacelera a cada incremento do fator de custo. O fator de custo dobra o trabalho a cada incremento — custo 11 é duas vezes mais lento que custo 10.
Seus dados permanecem em seu navegador — nenhum dado é enviado para nenhum servidor.
O que é bcrypt?
Bcrypt é um algoritmo de hash de senha projetado por Niels Provos e David Mazières em 1999. Ao contrário de funções de hash criptográfico de propósito geral como SHA-256, bcrypt é especificamente projetado para ser lento e intensivo em CPU, tornando-o resistente a ataques de força bruta e dicionário. Ele também incorpora automaticamente um salt aleatório, de modo que senhas idênticas produzem hashes diferentes a cada vez.
Escolhendo um fator de custo
O fator de custo (também chamado de fator de trabalho ou rodadas) controla o quão computacionalmente caro é o hash. É um logaritmo base-2 — custo 10 realiza 2¹⁰ = 1024 iterações, custo 11 realiza 2048, e assim por diante. OWASP recomenda um custo mínimo de 10, e 12 ou superior para novas aplicações conforme o hardware melhora. Procure por um tempo de hash de 100–300 ms em seu ambiente de produção.
Como usar
- Selecione a aba Hash, digite sua senha em texto plano e escolha um fator de custo.
- Clique em Gerar Hash — o hash bcrypt aparece na caixa de saída.
- Copie o hash para armazená-lo em seu banco de dados.
- Para verificar depois: mude para a aba Verificar, digite o texto plano e o hash armazenado, depois clique em Verificar.
Perguntas Frequentes
- Posso reverter um hash bcrypt para obter a senha original?
- Não. Bcrypt é uma função de hash unidirecional — é computacionalmente impossível reverter um hash bcrypt. A única maneira de verificar uma senha é fazer hash do candidato e comparar, que é exatamente o que a aba Verificar faz.
- Por que bcrypt produz um hash diferente a cada vez para a mesma entrada?
- Bcrypt gera automaticamente um salt aleatório de 128 bits para cada hash. O salt é incorporado na string de hash (o prefixo $2b$10$... contém tanto o custo quanto o salt). Isso significa que dois hashes da mesma senha parecerão diferentes, mas ambos verificarão corretamente.
- Qual é o comprimento máximo de entrada para bcrypt?
- Bcrypt trunca entrada em 72 bytes. Se sua senha em texto plano for maior que 72 bytes (aproximadamente 72 caracteres ASCII, menos para caracteres multibyte), apenas os primeiros 72 bytes são feito hash. Para senhas muito longas, considere fazer pré-hash com SHA-256 antes do bcrypt, ou use Argon2 em vez disso.
- Bcrypt ainda é recomendado ou devo usar Argon2?
- Bcrypt permanece uma escolha forte e amplamente suportada para hash de senha e é seguro usar. Argon2 (vencedor da Competição de Hash de Senha) é a recomendação moderna para novos sistemas, pois também é resistente à memória, tornando os ataques baseados em GPU mais caros. Ambos são vastamente melhores do que usar SHA-256 ou MD5 brutos para senhas.