Bcrypt-Generator & -Prüfer.

Weil bcrypt für jeden Hash ein frisches zufälliges Salt erzeugt und es in die Ausgabe einbettet. Das ist ein Vorteil: Zwei Nutzer mit demselben Passwort erhalten völlig unterschiedliche Hashes, und vorberechnete Rainbow-Tables werden nutzlos. Die Prüfung funktioniert trotzdem, weil das Salt aus dem Hash selbst wieder ausgelesen wird.

Der Kostenfaktor (Work Factor) ist ein Exponent: Kostenfaktor 12 bedeutet 2¹² = 4.096 interne Runden. Jedes +1 verdoppelt die Rechenzeit — für dich und für einen Angreifer. Wähle den höchsten Kostenfaktor, den dein Login-Latenzbudget zulässt; 10–12 ist 2026 der übliche Produktionsbereich.

Nein — bcrypt ist eine Einwegfunktion, es gibt nichts zu entschlüsseln. Der einzige Weg, ein Passwort zurückzugewinnen, ist, Kandidaten zu raten und jeden zu hashen — genau das macht der Kostenfaktor teuer. Ein starkes, einzigartiges Passwort bleibt selbst für gut ausgestattete Angreifer unerreichbar.

Es sind Präfixe für die Formatversion: $2b$ ist der aktuelle Standard, $2y$ stammt aus PHPs Korrektur eines alten Bugs, $2a$ ist das Original. Moderne Bibliotheken prüfen alle davon austauschbar. Die zwei Ziffern danach sind der Kostenfaktor, gefolgt von 22 Zeichen Salt und 31 Zeichen Hash.

Die Blowfish-Chiffre in bcrypt verschlüsselt nur mit den ersten 72 Bytes der Eingabe — alles Längere wird von den meisten Implementierungen still ignoriert. Für normale Passwörter ist das irrelevant; bei maschinell erzeugten Secrets oder Passphrasen halte sie entweder unter 72 Bytes oder hashe sie (sorgfältig) vor bcrypt vor.

Für neue Systeme ist Argon2id die aktuelle Empfehlung (OWASP), weil es mit konfigurierbaren Speicherkosten auch gegen GPU-Angriffe härtet. bcrypt bleibt eine solide, bewährte Wahl mit exzellenter Bibliotheksunterstützung — wenn dein Stack es bereits mit einem sinnvollen Kostenfaktor nutzt, gibt es keinen dringenden Grund zu migrieren.

Hashing und Prüfung laufen komplett in deinem Browser über eine JavaScript-bcrypt-Implementierung — nichts wird übertragen, gespeichert oder protokolliert. Bevorzuge trotzdem Test-Passwörter: Dieses Tool ist für Entwicklung und Debugging gedacht, nicht für den Umgang mit deinen echten Zugangsdaten.