# Générateur Bcrypt

Créez un hachage de mot de passe bcrypt avec un sel aléatoire de 16 octets et un facteur de coût compris entre 4 et 12. L’outil renvoie la chaîne crypt modulaire standard commençant par $2a$, acceptée par PHP password_verify, Node.js bcrypt, Spring Security et la plupart des frameworks. Utilisez-la pour créer des utilisateurs de test, réinitialiser le mot de passe administrateur d’une base de données ou vérifier votre propre code de hachage. Le mot de passe n’est jamais affiché ni stocké.

## Foire aux questions

### Qu’est-ce que bcrypt ?

Bcrypt est une fonction de hachage de mots de passe issue de 1999 et basée sur le chiffrement Blowfish. Elle combine un sel aléatoire à un coût réglable ; chaque palier de coût supplémentaire double le travail nécessaire à un attaquant pour chaque tentative. Elle reste largement prise en charge pour le stockage des mots de passe.

### Que signifie la chaîne de sortie ?

Un hachage tel que $2a$10$ suivi de 53 caractères contient la version 2a, le coût 10, un sel de 22 caractères et un hachage de 31 caractères, le tout dans l’alphabet propre à bcrypt Base64. Stockez la chaîne entière, car le vérificateur en lit le sel et le coût.

### Quel facteur de coût dois-je choisir ?

L’outil autorise un coût de 4 à 12 et utilise 10 par défaut, une valeur courante dans les frameworks. Chaque palier double le temps de calcul ; le coût 12 prend donc environ quatre fois plus longtemps que le coût 10. En production, choisissez le coût le plus élevé que vos serveurs peuvent gérer en environ 100 à 250 millisecondes.

### Pourquoi le coût est-il limité à 12 ?

Les coûts plus élevés nécessitent plusieurs secondes par hachage et permettraient à une seule requête d’occuper le serveur longtemps. Le coût 12 est déjà robuste pour la plupart des applications ; vous pouvez recalculer les hachages avec un coût supérieur dans votre propre environnement si nécessaire.

### Pourquoi le même mot de passe produit-il un hachage différent à chaque fois ?

L’outil génère un nouveau sel aléatoire de 16 octets pour chaque hachage. Les sels différents produisent des chaînes différentes, mais elles sont toutes vérifiées avec le même mot de passe. Cela empêche les attaquants d’utiliser des tables précalculées.

### La longueur du mot de passe est-elle limitée ?

Oui. Bcrypt n’utilise que les 72 premiers octets d’un mot de passe ; l’outil rejette donc les mots de passe plus longs au lieu d’ignorer silencieusement le reste. Les caractères non ASCII occupent plusieurs octets en UTF-8.

### PHP ou Laravel accepte-t-il un hachage $2a$ ?

Oui. PHP password_verify, Laravel, Symfony et les extensions WordPress qui utilisent password_hash acceptent les hachages $2a$, $2b$ et $2y$, qui ne diffèrent que par des corrections de bogues historiques. Node.js bcrypt, bcryptjs, Python bcrypt et Spring Security acceptent également $2a$.

### Mon mot de passe est-il stocké ou consigné dans des journaux ?

Non. Le mot de passe sert uniquement à calculer le hachage pendant la requête. Il est retiré de la réponse et n'est jamais consigné dans des journaux ni stocké.

### Dois-je utiliser bcrypt ou Argon2 ?

Argon2id est la recommandation la plus récente de l'OWASP, car il nécessite beaucoup de mémoire, ce qui rend les attaques par GPU plus coûteuses. Bcrypt reste acceptable et bénéficie d'une très large prise en charge par les bibliothèques ; c'est donc un choix sûr lorsqu'Argon2 n'est pas disponible.

### Comment vérifier un mot de passe par rapport à un hachage bcrypt ?

Utilisez le vérificateur Bcrypt de ce site ou appelez la fonction verify de votre framework. Ne comparez jamais directement les chaînes bcrypt, car un nouveau hachage du même mot de passe est toujours différent.

Votre publicité ici ?

[Envoyez-nous un e-mail](mailto:hi@dennn.is?subject=Publicit%C3%A9%20sur%20OneClick%20Pro)

[Annonce La suite de plugins prête pour les agents de WordPress.](https://sleekwp.com/?ref=oneclickpro)