Verificador de Bcrypt
Comprueba si una contraseña coincide con un hash bcrypt. Pega la contraseña y un hash $2a$, $2b$ o $2y$; la herramienta lee la sal y el coste de la cadena, vuelve a calcular el hash e indica si coincide. Ayuda a los desarrolladores a depurar problemas de inicio de sesión, confirmar migraciones de bases de datos y probar hashes de PHP, Node.js o Python. Se rechazan los hashes con un coste superior a 12 y nunca se muestra la contraseña.
Preguntas frecuentes
¿Cómo funciona la verificación de bcrypt?
La herramienta lee la versión, el coste y la sal de la cadena del hash, calcula el hash de tu contraseña con exactamente esos ajustes y compara el resultado con el hash almacenado. Si son idénticos, la respuesta es que coincide; de lo contrario, no coincide.
¿Qué formatos de hash se admiten?
La herramienta acepta el formato modular crypt con los prefijos $2a$, $2b$ y $2y$, un coste de dos dígitos y 53 caracteres de sal y hash. Esto incluye PHP password_hash, Node.js bcrypt y bcryptjs, Python bcrypt y Spring Security.
¿Por qué se rechaza mi hash?
El hash debe tener exactamente 60 caracteres, con el formato $2b$10$ seguido de 53 caracteres del alfabeto de bcrypt. Comprueba que una columna de la base de datos no lo haya truncado y que no esté entre comillas. Se rechazan los hashes con un coste superior a 12 para que el servicio siga siendo rápido.
¿Puedo probar un ejemplo conocido?
El vector de prueba publicado de jBCrypt $2a$06$If6bvum7DFjUnE9p2uDeDu0YHzrHM6tf.iqN8.yx.jNN1ILEf7h0i corresponde a la contraseña abc. Si introduces ambos, el resultado es que coincide; con cualquier otra contraseña, no coincide.
¿Por qué el límite de coste es 12?
Verificar un hash cuesta tanto como crearlo, y cada paso de coste duplica el tiempo. Los costes superiores a 12 pueden tardar varios segundos, así que la herramienta los rechaza en lugar de saturar el servidor.
¿El verificador muestra o almacena mi contraseña?
No. La respuesta solo contiene el hash y el resultado, nunca la contraseña. No se registra ni se guarda nada.
¿Hay una longitud máxima para la contraseña?
Bcrypt solo lee los primeros 72 bytes de una contraseña, y esta herramienta rechaza las contraseñas más largas en lugar de truncarlas. Si tu sistema truncó una contraseña más larga al crear el hash, introduce solo sus primeros 72 bytes.
¿Cuál es la diferencia entre $2a$, $2b$ y $2y$?
Indican correcciones de errores en implementaciones antiguas: $2y$ procede de la corrección de crypt_blowfish de PHP y $2b$ de la corrección de OpenBSD para contraseñas largas. Para contraseñas válidas de hasta 72 bytes calculan el mismo hash, por lo que la herramienta verifica los tres formatos.
¿Puedo verificar aquí hashes de otros algoritmos?
No. Esta herramienta solo comprueba hashes bcrypt. Usa Argon2 Verifier para las cadenas que empiezan por $argon2.
¿Por qué un hash bcrypt nuevo de mi contraseña no coincide con el almacenado?
Cada hash bcrypt usa una nueva sal aleatoria, por lo que dos hashes de la misma contraseña siempre son cadenas distintas. Por eso, la verificación vuelve a calcular el hash con la sal almacenada en lugar de comparar dos hashes.