Hashes/Cripto
Bcrypt Hash + Verify
Hashea contraseñas con bcrypt (con sal aleatoria y coste configurable) y verifica una contraseña contra un hash bcrypt existente.
Bcrypt is a deliberately slow password-hashing algorithm: unlike MD5 or SHA-256, it intentionally requires heavy computation so that brute-forcing passwords stays impractical even if a database of hashes leaks.
How to use it
- Hash: enter a password and set a cost factor — a higher number means slower, more secure hashing.
- Every hash call generates a fresh random salt, so the same password produces a different hash each time — that's expected and normal.
- Verify: paste a password and an existing bcrypt hash to check whether they match, without hashing manually yourself.
Common uses
- Manually checking that a backend hashes passwords correctly before storing them.
- Generating a test bcrypt hash for seed data or fixtures during development.
- Debugging a failed login by comparing an entered password against the stored hash.
Things to keep in mind
Pick a cost factor that keeps hashing around 100-300ms on your target server — a balance between security and login-time load.
Bcrypt truncates passwords longer than 72 bytes — characters beyond that limit are ignored by the algorithm.
Artículo sobre esta herramienta: Bcrypt: por qué las contraseñas se hashean lento y no rápido
Preguntas frecuentes
¿Por qué bcrypt incluye un factor de "coste" o "rondas"?
El factor de coste controla cuántas veces se repite internamente el hash, por lo que el hash se vuelve exponencialmente más lento a medida que aumenta. Esto permite mantenerlo deliberadamente lento para resistir ataques de fuerza bruta incluso cuando el hardware mejora.
¿Por qué el hash de bcrypt siempre tiene la misma longitud sin importar mi contraseña?
Bcrypt genera un hash de longitud fija (normalmente 60 caracteres) que codifica juntos la versión del algoritmo, el factor de coste, la sal y el hash — la longitud no depende de cuán larga o corta sea la contraseña original.
¿Bcrypt necesita un campo de sal aparte?
No. La sal se genera automáticamente y se incrusta directamente en la cadena de salida, así que no necesitas almacenarla ni gestionarla por separado — se incluye siempre que verificas una contraseña contra el hash.
¿Hay un límite en la longitud de la contraseña en bcrypt?
Sí, bcrypt solo procesa los primeros 72 bytes de la contraseña — todo lo que exceda eso se descarta sin aviso. En la práctica rara vez es un problema, pero conviene tenerlo en cuenta con contraseñas muy largas o caracteres no ASCII, donde un solo carácter puede ocupar varios bytes.
¿Por qué se sigue recomendando bcrypt si existe Argon2?
Bcrypt lleva décadas probado en la práctica, tiene soporte amplio en todos los lenguajes y frameworks, y sigue siendo una opción totalmente segura. Argon2 se recomienda como prioritario para sistemas nuevos por su protección frente a ataques con GPU/ASIC, pero bcrypt no se considera inseguro — solo menos resistente a hardware especializado.