Générateur & vérificateur bcrypt.

Parce que bcrypt génère un nouveau sel aléatoire pour chaque hachage et l'intègre dans la sortie. C'est un atout : deux utilisateurs ayant le même mot de passe obtiennent des hachages complètement différents, et les tables arc-en-ciel précalculées deviennent inutiles. La vérification fonctionne quand même, car le sel est relu depuis le hachage lui-même.

Le coût (facteur de travail) est un exposant : un coût de 12 signifie 2¹² = 4 096 tours internes. Chaque +1 double le temps de calcul — pour vous comme pour un attaquant. Choisissez le coût le plus élevé que votre budget de latence de connexion autorise ; 10–12 est la plage de production courante en 2026.

Non — bcrypt est une fonction à sens unique, il n'y a rien à déchiffrer. Le seul moyen de retrouver un mot de passe est de deviner des candidats et de hacher chacun d'eux, ce que le facteur de coût rend précisément coûteux. Un mot de passe fort et unique reste hors de portée même pour des attaquants bien financés.

Ce sont des préfixes de version de format : $2b$ est le standard actuel, $2y$ provient de la correction par PHP d'un ancien bug, $2a$ est l'original. Les bibliothèques modernes les vérifient tous de manière interchangeable. Les deux chiffres qui suivent sont le facteur de coût, suivis de 22 caractères de sel et de 31 de hachage.

Le chiffrement Blowfish à l'intérieur de bcrypt ne se base que sur les 72 premiers octets de l'entrée — tout ce qui dépasse est silencieusement ignoré par la plupart des implémentations. Pour des mots de passe normaux, c'est sans importance ; pour des secrets générés par machine ou des phrases secrètes, gardez-les sous 72 octets ou pré-hachez-les (avec prudence) avant bcrypt.

Pour les nouveaux systèmes, Argon2id est la recommandation actuelle (OWASP), car il protège aussi contre les attaques GPU grâce à un coût mémoire configurable. bcrypt reste un choix solide et éprouvé, avec un excellent support des bibliothèques — si votre stack l'utilise déjà avec un facteur de coût raisonnable, il n'y a pas d'urgence à migrer.

Le hachage et la vérification s'exécutent entièrement dans votre navigateur via une implémentation bcrypt en JavaScript — rien n'est transmis, stocké ni journalisé. Préférez tout de même des mots de passe de test : cet outil est destiné au développement et au débogage, pas à la manipulation de vos véritables identifiants.