bcrypt online - Hashing de palavras-passe

bcrypt é uma função de hashing de palavras-passe criada por Niels Provos e David Mazières e publicada na USENIX em 1999. Baseia-se na cifra Blowfish, mas foi feita para armazenar palavras-passe, não para checksums gerais: cada tentativa de adivinhar uma palavra-passe é deliberadamente lenta, usa um salt único e pode ficar mais cara ao aumentar o fator de custo.

Um hash bcrypt de palavra-passe é uma string autónoma como $2b$12$.... Ela contém a versão do algoritmo, o custo, um salt de 128 bits codificado no Base64 próprio do bcrypt e o hash final. Por isso, uma base de dados normalmente guarda uma única string bcrypt por palavra-passe; a biblioteca de verificação consegue ler os parâmetros a partir dela.

Use esta ferramenta bcrypt online quando precisar de um bcrypt hash generator para documentação, dados de teste, verificações de migração ou experiências rápidas com fatores de custo. Use o modo Verify quando já tiver um hash bcrypt e quiser confirmar se uma palavra-passe candidata corresponde.

O fator de custo do bcrypt é um expoente: cost 10 representa cerca de 2^10 unidades de trabalho interno, cost 12 cerca de 2^12, e cada aumento de 1 duplica o trabalho para atacantes e para logins legítimos. Uma base conservadora para bcrypt é um work factor de 10 ou mais quando Argon2id ou scrypt não estão disponíveis; o valor prático deve ser medido no servidor que irá processar autenticação real.

Esta ferramenta expõe valores de cost de 4 a 31, com 12 como padrão. Valores baixos servem apenas para demonstrações e testes rápidos; em produção, escolha o custo mais alto que ainda mantenha a verificação de login aceitável sob carga. Na prática, procure uma demora percetível mas razoável, monitorize a latência de login e aumente o custo à medida que o hardware melhora.

O custo fica armazenado em cada hash bcrypt, portanto hashes antigos continuam verificáveis após uma mudança de política. Um padrão comum é verificar o hash antigo durante o login, recalcular a mesma palavra-passe com o novo custo e substituir o valor guardado.

No modo Generate, introduza uma palavra-passe ou frase-passe, escolha o fator de custo e execute o cálculo. O navegador cria automaticamente um salt aleatório e devolve uma string bcrypt que começa por $2b$. A mesma palavra-passe deve produzir hashes diferentes em execuções repetidas porque o salt muda sempre.

No modo Verify, cole a palavra-passe candidata como entrada e o hash bcrypt guardado no campo de verificação. A ferramenta lê o custo e o salt do hash guardado, executa bcrypt com os mesmos parâmetros e indica se a palavra-passe corresponde. Reconhece strings bcrypt modernas iniciadas por $2a$, $2b$ ou $2y$.

Tudo corre do lado do cliente com a implementação JavaScript de bcrypt usada pela página. A palavra-passe e o hash não são enviados para o servidor, o que torna a ferramenta útil para exemplos e depuração. Para contas reais, faça sempre hashing e verificação no backend com uma biblioteca de servidor mantida, rate limiting, registos de auditoria e práticas seguras de operação.

Desenvolvedores costumam precisar de bcrypt para tarefas práticas: criar um hash de palavra-passe para um utilizador de teste, verificar se uma palavra-passe corresponde a um hash guardado, comparar fatores de custo, entender uma string $2b$ ou planear uma migração a partir de armazenamento legado.

Esta página cobre perguntas comuns sobre bcrypt generator e verifier: como gerar um hash bcrypt online, como verificar um hash bcrypt, o que é um salt bcrypt, como funciona o fator de custo, como bcrypt se compara ao Argon2 e porque o limite de 72 bytes importa. O padrão de produção é simples: gere um hash com salt único, guarde a string bcrypt completa, verifique com uma biblioteca mantida e recalcule o hash quando o custo guardado ficar abaixo da política atual.