Bcrypt, Scrypt y Argon2
- Los archivos no salen de tu dispositivo
- Se ejecuta en el navegador
- Gratis, sin registro ni marca de agua
Cómo usar Bcrypt, Scrypt y Argon2
Crea y verifica hash de contraseñas bcrypt, scrypt y Argon2 en tu navegador, con avisos cuando los ajustes quedan por debajo de las recomendaciones de OWASP. La verificación también lee hash PBKDF2 de Django.
- 1
Elige Generar hash y luego un Algoritmo: bcrypt, scrypt o Argon2.
- 2
Ajusta los parámetros (Factor de costo para bcrypt; N, r y p para scrypt; Variante, Memoria, Iteraciones y Paralelismo para Argon2) y fíjate en los avisos.
- 3
Escribe la Contraseña y haz clic en Generar hash; luego copia la cadena del hash, más el hash en bruto y la sal de scrypt y Argon2.
- 4
Para comprobar una contraseña, cambia a Verificar hash (o haz clic en Verificar este hash), pega la Cadena del hash, escribe la Contraseña a comprobar y haz clic en Verificar.
Preguntas frecuentes
¿Mi contraseña se envía a un servidor?
No. El hash se calcula en un worker en segundo plano de tu dispositivo, y las contraseñas y los hash nunca se guardan ni se envían.
¿Por qué la misma contraseña da un hash distinto cada vez?
Cada hash recibe una sal aleatoria nueva de 16 bytes (bcrypt crea su propia sal). La sal se guarda dentro de la cadena del hash, así que la verificación sigue funcionando. Usa una Sal personalizada solo para reproducir un hash conocido.
¿Qué algoritmo y ajustes debo elegir?
Argon2id es la opción recomendada para sistemas nuevos; el mínimo de OWASP es m = 19 MiB, t = 2, p = 1. Para scrypt recomienda N = 2^17, r = 8, p = 1, y para bcrypt un costo de al menos 10. La herramienta avisa cuando bajas de estos valores.
¿Qué formatos de hash puedo verificar?
bcrypt ($2a$, $2b$, $2y$), cadenas PHC de Argon2id, Argon2i y Argon2d, scrypt ($scrypt$ y $s0$) y pbkdf2_sha256 / pbkdf2_sha1 de Django. Los hash crypt de Linux ($1$, $5$, $6$, $y$), $apr1$ de Apache y los digestos MD5/SHA simples se reconocen, pero no están soportados.
¿Por qué bcrypt acepta mi contraseña larga pero no la usa por completo?
bcrypt solo usa los primeros 72 bytes de una contraseña e ignora el resto. La herramienta te avisa cuando ocurre; Argon2 y scrypt no tienen ese límite.
¿Puede recuperar una contraseña a partir de un hash?
No. Solo comprueba si una contraseña que escribes coincide. Los hash de contraseñas están diseñados para ser lentos y de un solo sentido, y por eso calcular el hash tarda un momento; puedes mirar el temporizador o hacer clic en Cancelar.