bcrypt online - Hashing password

bcrypt è una funzione di hashing per password progettata da Niels Provos e David Mazières e pubblicata a USENIX nel 1999. Si basa sul cifrario Blowfish, ma nasce per conservare password, non per checksum generici: ogni tentativo di indovinare una password è volutamente lento, usa un salt univoco e può diventare più costoso aumentando il cost factor.

Un hash bcrypt di una password è una stringa autosufficiente come $2b$12$.... Contiene versione dell'algoritmo, costo, salt a 128 bit codificato nel Base64 personalizzato di bcrypt e hash finale. Per questo un database di solito salva una sola stringa bcrypt per password; la libreria di verifica può leggerne i parametri in seguito.

Usa questo strumento bcrypt online quando ti serve un bcrypt hash generator per documentazione, dati di test, controlli di migrazione o prove rapide con diversi cost factor. Usa la modalità Verify se hai già un hash bcrypt e vuoi controllare se una password candidata corrisponde.

Il cost factor di bcrypt è un esponente: cost 10 significa circa 2^10 unità di lavoro interno, cost 12 circa 2^12, e ogni aumento di 1 raddoppia il lavoro sia per gli attaccanti sia per i login legittimi. Una base prudente per bcrypt è un work factor di 10 o superiore quando Argon2id o scrypt non sono disponibili; il valore pratico va misurato sul server che gestirà l'autenticazione reale.

Questo strumento espone valori di cost da 4 a 31, con 12 come predefinito. I valori bassi servono solo per demo e test rapidi; in produzione conviene scegliere il costo più alto che mantenga la verifica del login accettabile sotto carico. In pratica, punta a un ritardo percepibile ma ragionevole, monitora la latenza del login e aumenta il cost con il miglioramento dell'hardware.

Il costo è memorizzato dentro ogni hash bcrypt, quindi i vecchi hash restano verificabili dopo un cambio di policy. Uno schema comune è verificare il vecchio hash durante il login, poi ricalcolare la stessa password con il nuovo cost e sostituire il valore salvato.

In modalità Generate, inserisci una password o passphrase, scegli il cost factor e avvia il calcolo. Il browser crea automaticamente un salt casuale e restituisce una stringa bcrypt che inizia con $2b$. La stessa password dovrebbe produrre hash diversi a ogni esecuzione perché il salt cambia ogni volta.

In modalità Verify, incolla la password candidata come input e l'hash bcrypt memorizzato nel campo di verifica. Lo strumento legge cost e salt dall'hash salvato, esegue bcrypt con gli stessi parametri e indica se la password corrisponde. Riconosce stringhe bcrypt moderne che iniziano con $2a$, $2b$ o $2y$.

Tutto viene eseguito lato client con l'implementazione JavaScript bcrypt usata dalla pagina. Password e hash non vengono inviati al server, quindi lo strumento è comodo per esempi e debug. Per account reali, esegui comunque hashing e verifica nel backend con una libreria server mantenuta, rate limiting, audit logging e pratiche di deploy sicure.

Gli sviluppatori usano bcrypt soprattutto per attività pratiche: creare un hash password per un utente di test, verificare se una password corrisponde a un hash salvato, confrontare cost factor, capire una stringa $2b$ o pianificare una migrazione da vecchi sistemi di archiviazione password.

Questa pagina copre domande frequenti su bcrypt generator e verifier: come generare un hash bcrypt online, come verificare un hash bcrypt, cos'è un salt bcrypt, come funziona il cost factor, come bcrypt si confronta con Argon2 e perché conta il limite di 72 byte. Il pattern di produzione è semplice: genera un hash con salt univoco, salva l'intera stringa bcrypt, verifica con una libreria mantenuta e ricalcola l'hash quando il cost salvato diventa più debole della policy corrente.