Bcrypt-hashgenerator & -verifier

Wat is bcrypt?

// Node.js — bcryptjs / bcrypt (emits $2b$)
const bcrypt = require('bcrypt');
const hash = await bcrypt.hash('correct horse battery staple', 12);
// -> $2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq
const ok = await bcrypt.compare('correct horse battery staple', hash); // true

# Python — bcrypt
import bcrypt
hashed = bcrypt.hashpw(b'correct horse battery staple', bcrypt.gensalt(12))
bcrypt.checkpw(b'correct horse battery staple', hashed)  # True

# PHP — password_hash (emits $2y$)
$hash = password_hash('correct horse battery staple', PASSWORD_BCRYPT, ['cost' => 12]);
password_verify('correct horse battery staple', $hash); // true

# Apache htpasswd CLI — bcrypt entry to stdout (-B bcrypt, -b inline, -n stdout)
htpasswd -Bbn admin 'correct horse battery staple'
# -> admin:$2y$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

Belangrijkste functies

Voorbeelden van de Bcrypt-generator

wachtwoord: correct horse battery staple
kostenfactor: 12
prefix: $2b$

$2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

wachtwoord: correct horse battery staple
hash: $2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

✓ Komt overeen — het wachtwoord is juist voor deze hash

$2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

versie: $2b$ · kostenfactor: 12 · salt: dUSFKqT1FCMYZ6hcQfsxuO · digest: NizEqcX8IGK8snfVSowP5Uu.TDJoPUq

De Bcrypt-generator gebruiken

1. 1

   Voer een wachtwoord in & kies de kostenfactor

   Typ op het tabblad Genereren een wachtwoord of klik op Willekeurig wachtwoord. Kies een kostenfactor (4–15; 12 is de moderne standaard) en een versieprefix — $2b$, $2a$ of $2y$ — die past bij je stack.

2. 2

   Genereer de hash

   De bcrypt-hash wordt lokaal berekend met een nieuwe willekeurige salt en verschijnt als één string van 60 tekens $2b$12$... Klik op Kopiëren om hem op te halen, of genereer opnieuw voor een nieuwe gesalte hash.

3. 3

   Lees de opbouw of verifieer

   Het opbouwpaneel splitst de hash in versie, kostenfactor, salt en digest. Schakel naar het tabblad Verifiëren om een opgeslagen hash en een wachtwoord te plakken en meteen te bevestigen of ze overeenkomen.

Common Errors

bcrypt.decrypt(hash)  // no such operation

bcrypt.compare(password, hash)  // returns true / false

cost: 4  // far too fast, weak against brute force

cost: 12  // modern default, resists brute force

hash(pw) === storedHash  // fails — different salts

bcrypt.compare(pw, storedHash)  // correct check

Veelvoorkomende toepassingen

Een wachtwoordhash in een database vullen

Genereer een bcrypt-hash voor een beheerders- of testaccount en voeg hem rechtstreeks in je gebruikerstabel in, zodat je je kunt aanmelden zonder eerst een volledige registratieflow op te zetten.

Een mislukte aanmelding debuggen

Verifieer een bekend goed wachtwoord tegen de opgeslagen hash om te bevestigen of de hash zelf klopt, en isoleer zo de bug van je authenticatiecode.

De juiste kostenfactor kiezen

Genereer op meerdere kostenniveaus op je eigen hardware om te voelen hoe lang elk duurt, en kies dan een work factor die brute force weerstaat zonder echte aanmeldingen te vertragen.

htpasswd- / Basic Auth-entries maken

Maak een $2y$ bcrypt-hash voor een Apache-, Docker Registry- of Caddy-inloggegeven en plaats die in een gebruiker:hash-regel voor HTTP Basic Auth.

Testfixtures bouwen

Maak per-wachtwoord-deterministische bcrypt-hashes om integratietests van een aanmeld- of wachtwoordherstelflow te vullen zonder een echte auth-server op te zetten.

Een gevonden hash auditen

Lees de opbouw van een bcrypt-string in een configuratie of dump om de kostenfactor te controleren, en verifieer hem tegen het wachtwoord dat je verwacht om een overeenkomst te bevestigen.

Technische details

Blowfish-gebaseerd, adaptieve kostenfactor

Bcrypt leidt zijn hash af van de dure sleutelopzet van de Blowfish-cipher, herhaald 2^kostenfactor keer. De kostenfactor met één verhogen verdubbelt het werk en houdt de functie traag tegen brute force naarmate hardware verbetert.

Willekeurige salt van 128 bits

Elke hash bevat een willekeurige salt van 16 bytes (128 bits), Base64-gecodeerd als 22 tekens na de kostenfactor. De salt maakt elke hash uniek, zodat identieke wachtwoorden nooit een digest delen en rainbow tables niet van toepassing zijn.

Zelfbeschrijvend formaat van 60 tekens

De uitvoer is $versie$kostenfactor$salt+digest — een vaste string van 60 tekens die alles bevat wat nodig is om hem te verifiëren. Er is geen aparte salt-kolom of parameteropslag vereist.

Wachtwoordlimiet van 72 bytes

Bcrypt hasht alleen de eerste 72 bytes van een wachtwoord; alles daarbuiten wordt stilzwijgend genegeerd. Voor zeer lange wachtwoordzinnen is voorafgaand hashen (bijvoorbeeld met SHA-256) vóór bcrypt een veelgebruikte mitigatie.

Verifiëren, niet ontsleutelen

Bcrypt is eenrichting. Verificatie draait de hash opnieuw op het kandidaatwachtwoord met de salt en kostenfactor die uit de opgeslagen hash zijn geparseerd, en vergelijkt vervolgens de digests in constante tijd. Er is geen bewerking die de platte tekst herstelt.

Eerlijkheidsnotities & kanttekeningen

Hashes worden lokaal berekend en nooit tegen een live systeem gecontroleerd. Gekopieerde hashes en elk wachtwoord dat je typte leven op je klembord en in het browsergeheugen — behandel ze als geheimen en wis je klembord nadat je in productie hebt geplakt.

Best practices

Gebruik kostenfactor 12 of hoger

Kostenfactor 12 is de moderne basislijn; verhoog hem richting 14 voor gevoelige systemen zolang de aanmeldlatentie acceptabel blijft. Evalueer periodiek opnieuw — wat vijf jaar geleden traag genoeg was, is vandaag goedkoop aan te vallen.

Sla of log nooit platte tekst op

Sla alleen de bcrypt-hash op, nooit het oorspronkelijke wachtwoord, en houd wachtwoorden uit logs en foutmeldingen. De hele waarde van bcrypt gaat verloren als de platte tekst er samen mee lekt.

Laat bcrypt de salt afhandelen

Bcrypt genereert en bedt een veilige willekeurige salt voor je in. Geef geen eigen statische salt op en hergebruik er geen — een willekeurige salt per hash is wat rainbow tables verslaat.

Let op de limiet van 72 bytes

Als je lange wachtwoordzinnen accepteert, onthoud dan dat bcrypt bytes voorbij 72 negeert. Overweeg voorafgaand hashen met SHA-256, of beoordeel Argon2id, wanneer zeer lange invoer volledig moet worden gedekt.

Veelgestelde vragen over de Bcrypt-generator