# Bcrypt-Generator

Erstelle einen bcrypt-Passwort-Hash mit einem zufälligen 16-Byte-Salt und einem Kostenfaktor von 4 bis 12. Das Werkzeug gibt den standardmäßigen modularen Crypt-String zurück, der mit $2a$ beginnt und von PHP password_verify, Node.js bcrypt, Spring Security und den meisten Frameworks akzeptiert wird. Verwende ihn, um Testbenutzer anzulegen, ein Admin-Passwort in einer Datenbank zurückzusetzen oder deinen eigenen Hashing-Code zu überprüfen. Das Passwort wird weder ausgegeben noch gespeichert.

## Häufig gestellte Fragen

### Was ist bcrypt?

Bcrypt ist eine Passwort-Hashing-Funktion aus 1999, die auf der Blowfish-Chiffre basiert. Sie kombiniert einen zufälligen Salt mit anpassbaren Kosten, sodass jeder zusätzliche Kostenschritt den Aufwand pro Rateversuch für einen Angreifer verdoppelt. Bcrypt wird weiterhin häufig zur Passwortspeicherung verwendet.

### Was bedeutet die Ausgabezeichenfolge?

Ein Hash wie $2a$10$, gefolgt von 53 Zeichen, enthält die Version 2a, den Kostenfaktor 10, einen 22 Zeichen langen Salt und einen 31 Zeichen langen Hash – alles im eigenen Base64-Alphabet von bcrypt. Speichere die ganze Zeichenfolge, denn der Verifizierer liest Salt und Kostenfaktor daraus aus.

### Welchen Kostenfaktor sollte ich wählen?

Das Werkzeug erlaubt Kostenfaktoren von 4 bis 12 und verwendet standardmäßig 10, einen gängigen Standardwert in Frameworks. Jeder Schritt verdoppelt die Dauer, daher dauert Kostenfaktor 12 etwa viermal so lang wie Kostenfaktor 10. Wähle in der Produktion den höchsten Kostenfaktor, den deine Server in ungefähr 100 bis 250 Millisekunden bewältigen.

### Warum ist der Kostenfaktor auf 12 begrenzt?

Höhere Kostenfaktoren brauchen pro Hash Sekunden und würden eine Anfrage den Server lange belegen lassen. Kostenfaktor 12 ist für die meisten Anwendungen bereits stark. Bei Bedarf kannst du in deiner eigenen Umgebung mit einem höheren Kostenfaktor neu hashen.

### Warum ergibt dasselbe Passwort jedes Mal einen anderen Hash?

Das Werkzeug erzeugt für jeden Hash einen neuen zufälligen 16-Byte-Salt. Verschiedene Salts ergeben unterschiedliche Zeichenfolgen, aber alle lassen sich mit demselben Passwort verifizieren. So wird verhindert, dass Angreifer vorberechnete Tabellen verwenden.

### Gibt es eine Begrenzung für die Passwortlänge?

Ja. Bcrypt verwendet nur die ersten 72 Byte eines Passworts. Daher weist das Werkzeug längere Passwörter zurück, anstatt den Rest stillschweigend zu ignorieren. Nicht-ASCII-Zeichen belegen in UTF-8 jeweils mehrere Byte.

### Akzeptieren PHP oder Laravel einen $2a$-Hash?

Ja. PHP password_verify, Laravel, Symfony und WordPress-Plugins, die password_hash verwenden, akzeptieren $2a$-, $2b$- und $2y$-Hashes, die sich nur durch historische Fehlerkorrekturen unterscheiden. Node.js bcrypt, bcryptjs, Python bcrypt und Spring Security akzeptieren ebenfalls $2a$.

### Wird mein Passwort gespeichert oder protokolliert?

Nein. Das Passwort wird nur während der Anfrage zur Berechnung des Hashes verwendet. Es wird aus der Antwort entfernt und niemals in Protokolle oder im Speicher geschrieben.

### Sollte ich bcrypt oder Argon2 verwenden?

Argon2id ist die neuere Empfehlung von OWASP, da es speicherintensiv ist und GPU-Angriffe dadurch aufwendiger werden. bcrypt ist weiterhin eine akzeptable Wahl und wird von sehr vielen Bibliotheken unterstützt. Es ist daher eine gute Option, wenn Argon2 nicht verfügbar ist.

### Wie prüfe ich ein Passwort anhand eines bcrypt-Hashes?

Verwende den Bcrypt Verifier auf dieser Website oder rufe die verify-Funktion deines Frameworks auf. Vergleiche bcrypt-Zeichenfolgen niemals direkt, da ein neuer Hash desselben Passworts immer anders aussieht.

Deine Anzeige hier?

[Schreib uns eine E-Mail](mailto:hi@dennn.is?subject=Werbung%20auf%20OneClick%20Pro)

[Anzeige Die agentenfähige Plugin-Suite für WordPress.](https://sleekwp.com/?ref=oneclickpro)