Comment utiliser : Générateur et vérificateur Bcrypt
- Saisissez un mot de passe et choisissez un facteur de coût (10 à 12 est courant).
- Cliquez sur Générer le hachage : chaque exécution produit un hachage différent, car le sel est aléatoire.
- Pour vérifier un mot de passe, collez-le ainsi que le hachage enregistré dans la section Vérifier un mot de passe.
Qu’est-ce que bcrypt ?
Bcrypt est une fonction de hachage de mots de passe conçue en 1999 pour être volontairement lente. Chaque hachage comprend un sel aléatoire de 128 bits et un facteur de coût : le travail croît comme 2coût, ce qui permet de ralentir le hachage à mesure que le matériel gagne en puissance. Une attaque par force brute sur des hachages volés devient ainsi bien plus coûteuse qu’avec des fonctions rapides comme MD5 ou SHA-256, qui ne devraient jamais être utilisées seules pour les mots de passe.
Anatomie d’un hachage bcrypt
$2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW
│ │ └ 22-char salt └ 31-char hash$2b$ correspond à la version de l’algorithme et 12 au coût. $2a$, $2b$ et $2y$ produisent des hachages identiques pour les mots de passe courants ; $2y$ est le nom utilisé par PHP et Apache, et $2b$ est le standard actuel d’OpenBSD.
Choisir le facteur de coût
| Coût | Itérations | Usage |
|---|---|---|
| 4–8 | 16–256 | Tests unitaires uniquement |
| 10 | 1 024 | Valeur par défaut courante (Laravel, bcrypt pour Node) |
| 12 | 4 096 | Bon choix sur les serveurs actuels (~250 ms) |
| 14+ | 16 384+ | Très lent ; peut dégrader les performances de connexion |
Visez 100 à 500 ms par hachage sur votre matériel de production. Le temps affiché ci-dessus est mesuré dans votre navigateur et n’est qu’indicatif.
Bcrypt ne peut pas être « décrypté »
Bcrypt est à sens unique : aucune clé ne permet de retrouver le mot de passe à partir du hachage. La vérification consiste à hacher le mot de passe candidat avec le sel et le coût stockés dans le hachage, puis à comparer les résultats, ce que fait exactement le vérificateur. Notez que bcrypt ignore tout ce qui suit les 72 premiers octets d’un mot de passe.
Pour les fichiers d’authentification HTTP Basic, utilisez le générateur htpasswd ; pour créer des mots de passe robustes, utilisez le générateur de mots de passe.
Aussi recherché comme : générateur hash bcrypt, bcrypt en ligne, vérifier hash bcrypt, vérificateur bcrypt, hacher mot de passe bcrypt, décrypter bcrypt, hash $2y$.
Outils complémentaires : Générateur et vérificateur Bcrypt
- Générateur de hash — Calculez instantanément les hashs MD5 et SHA de n'importe quel texte ou fichier, créez des signatures HMAC et collez un checksum attendu pour vérifier un téléchargement.
- Générateur HMAC — Calculez des signatures HMAC avec clé pour vos requêtes API et webhooks, et vérifiez si une signature reçue est valide, grâce à l’API Web Crypto de votre navigateur.
- Vérificateur de force des mots de passe — Saisissez un mot de passe pour connaître le nombre de combinaisons possibles, le temps qu'il faudrait pour le pirater, les éléments qui l'affaiblissent — et, si vous le souhaitez, s'il figure parmi les données divulguées lors de fuites de données connues.
- Décodeur JWT — Collez un JSON Web Token pour examiner son en-tête et sa charge utile, vérifier sa date d'expiration et valider sa signature.
Questions fréquentes
Peut-on décrypter un hachage bcrypt ?
Pourquoi le hachage est-il différent à chaque fois ?
Les préfixes $2a$, $2b$ et $2y$ sont-ils compatibles ?
password_verify de PHP accepte les trois.