Bcrypt, Scrypt et Argon2
- Les fichiers ne quittent pas votre appareil
- S’exécute dans le navigateur
- Gratuit, sans compte, sans filigrane
Comment utiliser Bcrypt, Scrypt et Argon2
Créez et vérifiez des hachages de mots de passe bcrypt, scrypt et Argon2 dans votre navigateur, avec des avertissements lorsque les réglages passent sous les recommandations OWASP. La vérification lit aussi les hachages PBKDF2 de Django.
- 1
Choisissez Générer un hachage, puis un Algorithme : bcrypt, scrypt ou Argon2.
- 2
Ajustez les paramètres (Facteur de coût pour bcrypt ; N, r et p pour scrypt ; Variante, Mémoire, Itérations et Parallélisme pour Argon2) et surveillez les avertissements.
- 3
Saisissez le Mot de passe et cliquez sur Générer un hachage, puis copiez la chaîne de hachage, plus le hachage brut et le sel pour scrypt et Argon2.
- 4
Pour vérifier un mot de passe, passez sur Vérifier un hachage (ou cliquez sur Vérifier ce hachage), collez la Chaîne de hachage, saisissez le Mot de passe à vérifier et cliquez sur Vérifier.
Questions fréquentes
Mon mot de passe est-il envoyé à un serveur ?
Non. Le hachage s'exécute dans un worker d'arrière-plan sur votre appareil, et les mots de passe comme les hachages ne sont jamais stockés ni envoyés.
Pourquoi le même mot de passe donne-t-il un hachage différent à chaque fois ?
Chaque hachage reçoit un nouveau sel aléatoire de 16 octets (bcrypt crée son propre sel). Le sel est stocké dans la chaîne de hachage, la vérification fonctionne donc quand même. N'utilisez un Sel personnalisé que pour reproduire un hachage connu.
Quel algorithme et quels réglages choisir ?
Argon2id est le choix recommandé pour les nouveaux systèmes ; le minimum OWASP est m = 19 MiB, t = 2, p = 1. Pour scrypt, il recommande N = 2^17, r = 8, p = 1, et pour bcrypt un coût d'au moins 10. L'outil avertit lorsque vous passez en dessous.
Quels formats de hachage puis-je vérifier ?
bcrypt ($2a$, $2b$, $2y$), les chaînes PHC Argon2id, Argon2i et Argon2d, scrypt ($scrypt$ et $s0$), et Django pbkdf2_sha256 / pbkdf2_sha1. Les hachages crypt Linux ($1$, $5$, $6$, $y$), Apache $apr1$ et les empreintes MD5/SHA brutes sont reconnus mais non pris en charge.
Pourquoi mon long mot de passe est-il accepté par bcrypt sans être entièrement utilisé ?
bcrypt n'utilise que les 72 premiers octets d'un mot de passe et ignore le reste. L'outil vous avertit lorsque cela se produit ; Argon2 et scrypt n'ont pas cette limite.
Peut-il retrouver un mot de passe à partir d'un hachage ?
Non. Il vérifie seulement si un mot de passe que vous saisissez correspond. Les hachages de mots de passe sont conçus pour être lents et à sens unique, c'est aussi pourquoi le hachage prend un moment ; vous pouvez regarder le chronomètre ou cliquer sur Annuler.