Vérificateur de hash bcrypt

Comment ça marche

1. Collez le hash, ou une ligne .htpasswd entière avec le nom d’utilisateur.
2. Tapez le mot de passe.
3. Appuyez sur Vérifier. bcrypt est volontairement lent, cela prend donc un instant.
4. Plusieurs lignes à la fois, cela va : il vous dit lesquelles correspondent.

Questions fréquentes

Peut-il me dire quel est le mot de passe ?

Non, et rien ne le peut. Un hash de mot de passe est à sens unique par conception : la seule façon de le tester est de refaire le même hash avec le même sel et de comparer, ce qui est exactement ce qui se passe ici. Tout site prétendant « déchiffrer » bcrypt cherche le hash dans une table de hashs déjà cassés.

Mon mot de passe part-il quelque part ?

Non. Le calcul se fait dans votre navigateur et rien ne quitte la machine — c’est la seule manière pour une page de demander honnêtement un vrai mot de passe.

Quels formats lit-il ?

bcrypt ($2a$, $2b$, $2y$), l’APR1 d’Apache ($apr1$), la forme {SHA} qu’écrit htpasswd, et un simple condensé MD5 en hexadécimal. Cela couvre ce qu’on trouve dans un fichier .htpasswd et dans de vieilles bases.

Pourquoi est-ce lent ?

Parce que bcrypt est fait pour l’être. Le facteur de coût inscrit dans le hash dit à quel point, et la vérification doit refaire le même travail que l’original : c’est la protection qui fonctionne comme prévu.

Est-ce gratuit ?

Oui.