Bcrypt, Scrypt e Argon2
- Os arquivos não saem do seu dispositivo
- Roda no navegador
- Grátis, sem cadastro, sem marca d’água
Como usar Bcrypt, Scrypt e Argon2
Crie e verifique hashes de senha bcrypt, scrypt e Argon2 no navegador, com avisos quando as configurações ficam abaixo das recomendações da OWASP. A verificação também lê hashes PBKDF2 do Django.
- 1
Escolha Gerar hash e depois um Algoritmo: bcrypt, scrypt ou Argon2.
- 2
Ajuste os parâmetros (Fator de custo para bcrypt; N, r e p para scrypt; Variante, Memória, Iterações e Paralelismo para Argon2) e fique de olho nos avisos.
- 3
Digite a Senha e clique em Gerar hash, depois copie a string do hash, mais o hash bruto e o salt para scrypt e Argon2.
- 4
Para conferir uma senha, mude para Verificar hash (ou clique em Verificar este hash), cole a String do hash, digite a Senha a conferir e clique em Verificar.
Perguntas frequentes
Minha senha é enviada a um servidor?
Não. O hash roda em um worker em segundo plano no seu dispositivo, e senhas e hashes nunca são armazenados nem enviados.
Por que a mesma senha dá um hash diferente a cada vez?
Cada hash recebe um salt aleatório novo de 16 bytes (o bcrypt cria o próprio salt). O salt fica dentro da string do hash, então a verificação ainda funciona. Use um Salt personalizado só para reproduzir um hash conhecido.
Qual algoritmo e quais configurações devo escolher?
Argon2id é a escolha recomendada para sistemas novos; o mínimo da OWASP é m = 19 MiB, t = 2, p = 1. Para scrypt ela recomenda N = 2^17, r = 8, p = 1, e para bcrypt um custo de pelo menos 10. A ferramenta avisa quando você fica abaixo disso.
Quais formatos de hash posso verificar?
bcrypt ($2a$, $2b$, $2y$), strings PHC de Argon2id, Argon2i e Argon2d, scrypt ($scrypt$ e $s0$) e pbkdf2_sha256 / pbkdf2_sha1 do Django. Hashes crypt do Linux ($1$, $5$, $6$, $y$), $apr1$ do Apache e digests MD5/SHA simples são reconhecidos, mas não suportados.
Por que minha senha longa é aceita pelo bcrypt, mas não é usada por inteiro?
O bcrypt só usa os primeiros 72 bytes de uma senha e ignora o resto. A ferramenta avisa quando isso acontece; Argon2 e scrypt não têm esse limite.
Ela consegue recuperar uma senha a partir de um hash?
Não. Ela só confere se uma senha que você digita corresponde. Hashes de senha foram feitos para serem lentos e de mão única, e é por isso que o hash leva um momento; você pode acompanhar o cronômetro ou clicar em Cancelar.