Hash et vérification Bcrypt

Hacher des mots de passe avec bcrypt

Bcrypt est une fonction de hachage de mots de passe conçue pour être volontairement lente, ce qui en fait un choix solide pour stocker des identifiants de connexion. Au lieu d'un condensé rapide comme SHA-256, bcrypt applique une quantité de travail réglable et intègre un sel aléatoire dans chaque hachage. Cet outil exécute la bibliothèque bcryptjs directement dans votre navigateur : le mot de passe saisi est haché sur votre appareil et n'est jamais envoyé à un serveur. Le résultat est une chaîne autonome qui inclut la version de l'algorithme, le facteur de coût et le sel, ce qui explique que chaque exécution produise un hachage différent, même pour le même mot de passe.

Choisir un facteur de coût

Le coût, aussi appelé facteur de travail, définit le nombre de tours effectués par bcrypt. Le travail double à chaque cran : un coût de 12 est donc environ quatre fois plus lent qu'un coût de 10. Un coût plus élevé rend les attaques par force brute et par dictionnaire bien plus coûteuses, car l'attaquant doit consacrer ce même temps à chaque tentative. Pour les connexions web interactives, une valeur comprise entre 10 et 12 est un compromis courant entre sécurité et temps de réponse. Comme cet outil s'exécute dans un seul onglet du navigateur, des coûts très élevés peuvent prendre plusieurs secondes, ce qui rappelle utilement la quantité de travail que représente chaque hachage.

Vérifier plutôt que déchiffrer

Les hachages bcrypt sont à sens unique : il est impossible de retrouver le mot de passe d'origine à partir d'un hachage. Pour vérifier un mot de passe, on hache à nouveau le candidat avec le sel stocké dans le hachage existant et l'on compare les résultats, ce que fait précisément le mode de vérification avec bcrypt.compareSync. Collez un hachage stocké, saisissez le mot de passe à tester, et l'outil indique s'ils correspondent sans jamais révéler le secret d'origine. C'est pratique pour déboguer l'authentification, confirmer un compte de test préchargé ou comprendre le stockage des mots de passe. Pour les systèmes de production, hachez toujours les mots de passe sur un backend de confiance ; utilisez cette page pour des expériences locales, l'apprentissage et des vérifications rapides où garder les données sur votre propre machine est un avantage.