bcrypt-Hash prüfen

So funktioniert es

1. Den Hash einfügen, oder eine ganze .htpasswd-Zeile samt Benutzernamen.
2. Das Passwort eintippen.
3. Auf Prüfen drücken. bcrypt ist absichtlich langsam, es dauert also einen Moment.
4. Mehrere Zeilen auf einmal sind in Ordnung – es wird gesagt, welche davon passen.

Häufige Fragen

Kann es mir sagen, wie das Passwort lautet?

Nein, und das kann nichts. Ein Passwort-Hash ist von Natur aus einwegig: Man kann ihn nur testen, indem man mit demselben Salz denselben Hash bildet und vergleicht – genau das geschieht hier. Jede Seite, die verspricht, bcrypt zu „entschlüsseln“, schlägt den Hash in einer Tabelle bereits geknackter nach.

Wird mein Passwort irgendwohin geschickt?

Nein. Das Hashen läuft im Browser und nichts verlässt den Rechner – was die einzige Art ist, wie eine Seite ehrlich nach einem echten Passwort fragen kann.

Welche Formate liest es?

bcrypt ($2a$, $2b$, $2y$), Apaches APR1 ($apr1$), die {SHA}-Form, die htpasswd schreibt, und einen bloßen MD5-Hexwert. Damit ist abgedeckt, was in einer .htpasswd-Datei und in alten Datenbanken auftaucht.

Warum ist es langsam?

Weil bcrypt so gemeint ist. Der Kostenfaktor im Hash sagt, wie langsam, und die Prüfung muss dieselbe Arbeit leisten wie das Original – das ist der Schutz, der wie vorgesehen funktioniert.

Ist es kostenlos?

Ja.