Como usar: Gerador e Verificador Bcrypt
- Digite uma senha e escolha um fator de custo (10–12 é o usual).
- Clique em Gerar hash; cada execução gera um hash diferente, porque o salt é aleatório.
- Para verificar uma senha, cole-a junto com o hash armazenado em Verificar uma senha.
O que é bcrypt?
Bcrypt é uma função de hash de senhas criada em 1999 para ser propositalmente lenta. Cada hash inclui um salt aleatório de 128 bits e um fator de custo: o trabalho cresce como 2custo, então você pode tornar o hash mais lento conforme o hardware evolui. Isso torna a força bruta sobre hashes roubados muito mais cara do que com hashes rápidos como MD5 ou SHA-256, que nunca deveriam ser usados sozinhos para senhas.
Anatomia de um hash bcrypt
$2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW
│ │ └ 22-char salt └ 31-char hash$2b$ é a versão do algoritmo e 12 é o custo. $2a$, $2b$ e $2y$ produzem hashes idênticos para senhas comuns; $2y$ é o nome usado pelo PHP e pelo Apache, e $2b$ é o padrão atual do OpenBSD.
Escolhendo o fator de custo
| Custo | Iterações | Uso |
|---|---|---|
| 4–8 | 16–256 | Somente testes unitários |
| 10 | 1.024 | Padrão comum (Laravel, Node bcrypt) |
| 12 | 4.096 | Boa escolha em servidores atuais (~250 ms) |
| 14+ | 16.384+ | Muito lento; pode prejudicar o desempenho do login |
Busque de 100 a 500 ms por hash no seu hardware de produção. O tempo mostrado acima é medido no seu navegador e serve apenas como referência.
Bcrypt não pode ser “descriptografado”
Bcrypt é unidirecional: não existe chave que transforme um hash de volta em senha. A verificação funciona aplicando o hash à senha candidata com o salt e o custo armazenados no próprio hash e comparando os resultados, exatamente o que o verificador faz. Atenção: o bcrypt ignora tudo o que vem depois dos primeiros 72 bytes da senha.
Para arquivos de autenticação básica HTTP, use o gerador de htpasswd; para criar senhas fortes, use o gerador de senhas.
Também pesquisado como: gerador bcrypt, bcrypt online, verificar hash bcrypt, checker bcrypt, gerar hash de senha bcrypt, descriptografar bcrypt, hash $2y$.
Ferramentas que combinam com: Gerador e Verificador Bcrypt
- Gerador de Hash — Calcule hashes MD5 e SHA de qualquer texto ou arquivo na hora, crie assinaturas HMAC e cole um checksum esperado para verificar um download.
- Gerador HMAC — Calcule assinaturas HMAC com chave para requisições de API e webhooks, e confira se uma assinatura recebida é válida, usando a Web Crypto API do seu navegador.
- Verificador de força da senha — Digite uma senha para ver quantas combinações possíveis ela tem, quanto tempo levaria para ser quebrada, quais padrões a tornam mais fraca — e, se quiser, se ela aparece em vazamentos de dados conhecidos.
- Decodificador JWT — Cole um JSON Web Token para analisar seu cabeçalho e sua carga, verificar quando ele expira e conferir sua assinatura.
Perguntas frequentes
Dá para descriptografar um hash bcrypt?
Por que o hash é diferente a cada vez?
$2a$, $2b$ e $2y$ são compatíveis?
password_verify do PHP aceita os três.