CRYPTO.03 BCRYPT GENERATOR

Generatore Bcrypt

Generazione e verifica condividono una password; Hash Inspector spiega il risultato accanto a costo, tempo e limite di 72 byte.

PASSWORD

Password e costo

Password in chiaro

Fattore di costo 12

Base comune di compatibilità; misura l’hardware di produzione

Inserisci una password o incolla un hash a destra

Calcolo asincrono locale con bcrypt.js · password e hash non vengono inviati né salvati

§ 01

Genera e verifica la stessa password

Inserisci la password e controlla i byte

Il limite classico di Bcrypt è 72 byte UTF-8. I caratteri CJK e le emoji occupano più byte: segui l’avviso, non solo il conteggio dei caratteri.

Scegli il costo

Ogni incremento raddoppia circa il lavoro. 12 è un punto di partenza comune, ma il valore di produzione va misurato sul server reale.

Genera o verifica

Il risultato generato compila automaticamente il campo di verifica. La verifica legge salt e costo dall’hash completo.

§ 02

Bcrypt rallenta volutamente i tentativi di password

Bcrypt è un hash di password, non una cifratura reversibile. Ogni risultato contiene versione, costo, salt casuale e corpo dell’hash; il salt viene letto dalla stringa completa.

Un accesso normale calcola una volta, mentre un attaccante ripete il lavoro costoso per ogni tentativo. Rivedi il costo con l’evoluzione dell’hardware senza rallentare il servizio alla cieca.

§ 03

Scala e uso del fattore di costo

Costo

Round circa

Raccomandazione

4–9

16–512

Test e demo locali

10–11

1024–2048

Sistemi datati o poco potenti

12

4096

Base comune; misura l’hardware

13–14

8192–16384

Costo maggiore; valuta la latenza

15

32768

Può essere lento nel browser

§ 04

Limite di 72 byte e prefisso di versione: problemi comuni

Il Bcrypt tradizionale usa solo i primi 72 byte della password. 72 caratteri ASCII sono 72 byte, mentre CJK usa spesso tre byte e molte emoji quattro.

I prefissi comuni sono 2a, 2b e 2y. I risultati moderni usano di solito 2b; 2y compare nell’ecosistema PHP. Nelle migrazioni verifica campioni reali con librerie aggiornate.

§ 05

Generazione e verifica Bcrypt in più linguaggi

import bcrypt from 'bcryptjs';
const hash = await bcrypt.hash(password, 12);
const valid = await bcrypt.compare(password, hash);

§ 06

Domande frequenti

Q1Bcrypt si può decifrare?

No. La verifica ricalcola l’input con salt e costo inclusi nell’hash; una password dimenticata va reimpostata.

Q2Il costo 12 va sempre bene in produzione?

No. È un punto di partenza comune, ma va scelto con benchmark sull’hardware reale considerando concorrenza e limiti.

Q3Perché la stessa password produce hash diversi?

Ogni generazione usa un nuovo salt casuale. Questo contrasta tabelle arcobaleno e precalcoli di massa.

Q4Le password vengono inviate o salvate?

No. bcrypt.js calcola in modo asincrono nella pagina corrente, senza inviare input né scrivere nella memoria del browser.

Q5Bcrypt o Argon2id in un nuovo progetto?

Entrambi sono adatti. I sistemi nuovi valutano spesso prima Argon2id; Bcrypt resta diffuso per la compatibilità.