Хеши/крипто
Bcrypt Hash + Verify
Хеширование паролей через bcrypt (со случайной солью и настраиваемой стоимостью) и проверка пароля против имеющегося bcrypt-хеша.
Bcrypt is a deliberately slow password-hashing algorithm: unlike MD5 or SHA-256, it intentionally requires heavy computation so that brute-forcing passwords stays impractical even if a database of hashes leaks.
How to use it
- Hash: enter a password and set a cost factor — a higher number means slower, more secure hashing.
- Every hash call generates a fresh random salt, so the same password produces a different hash each time — that's expected and normal.
- Verify: paste a password and an existing bcrypt hash to check whether they match, without hashing manually yourself.
Common uses
- Manually checking that a backend hashes passwords correctly before storing them.
- Generating a test bcrypt hash for seed data or fixtures during development.
- Debugging a failed login by comparing an entered password against the stored hash.
Things to keep in mind
Pick a cost factor that keeps hashing around 100-300ms on your target server — a balance between security and login-time load.
Bcrypt truncates passwords longer than 72 bytes — characters beyond that limit are ignored by the algorithm.
Статья об этом инструменте: Bcrypt: почему пароли хешируют медленно, а не быстро
Часто задаваемые вопросы
Зачем в bcrypt есть фактор "cost" (сложность)?
Фактор сложности определяет, сколько раз хеширование повторяется внутри алгоритма, поэтому с ростом значения хеширование становится экспоненциально медленнее. Это позволяет намеренно держать его достаточно медленным, чтобы противостоять перебору даже по мере роста мощности оборудования.
Почему хеш bcrypt всегда одинаковой длины независимо от пароля?
Bcrypt выдаёт хеш фиксированной длины (обычно 60 символов), который кодирует версию алгоритма, фактор сложности, соль и сам хеш вместе — длина не зависит от длины исходного пароля.
Нужно ли отдельное поле для соли в bcrypt?
Нет. Соль генерируется автоматически и встраивается прямо в строку результата, поэтому хранить или управлять ею отдельно не нужно — она включена всякий раз, когда вы проверяете пароль по хешу.
Есть ли ограничение на длину пароля в bcrypt?
Да, bcrypt обрабатывает только первые 72 байта пароля — всё, что длиннее, просто отбрасывается без предупреждения. На практике это редко проблема, но стоит помнить об этом ограничении при работе с очень длинными паролями или не-ASCII символами, где один символ может занимать несколько байт.
Почему bcrypt всё ещё рекомендуют, если есть Argon2?
Bcrypt десятилетиями проверен на практике, широко поддерживается во всех языках и фреймворках и остаётся вполне надёжным выбором. Argon2 рекомендуют как приоритетный для новых систем из-за защиты от атак на GPU/ASIC, но bcrypt не считается небезопасным — лишь менее устойчивым к специализированному оборудованию.