Vérificateur de hash bcrypt
Ce mot de passe correspond-il à ce hash ?
Les exemples remplacent temporairement la saisie et les réglages. Vous pouvez rétablir votre travail précédent.
Collez ou saisissez du texte ci-dessus pour voir le résultat ici.
Vos fichiers restent sur votre appareil
Cet outil fonctionne entièrement dans votre navigateur. Ce que vous collez est traité sur votre appareil et n’est jamais envoyé à un serveur : vous pouvez l’utiliser sans crainte avec des jetons, des clés et des textes non publiés.
Exemple
Exemple : vérifier le mot de passe de deux comptes d’un fichier .htpasswd
Le site de préproduction d’une association est protégé par un fichier .htpasswd de deux lignes, l’une en bcrypt, l’autre plus ancienne en APR1. Avant d’envoyer les accès à une bénévole, on vérifie que le mot de passe noté, Tilleul#2027, est bien le bon : les deux lignes sont collées telles quelles, le mot de passe tapé, puis on clique sur « Vérifier ».
- Le nom placé avant les deux-points (camille, lucas) est mis de côté et réaffiché devant le résultat : on peut coller tout le fichier d’un coup.
- $2y$10$ annonce du bcrypt de coût 10, suivi de 22 caractères de sel : le mot de passe tapé est haché de nouveau avec ce sel et ce coût, puis comparé. En $apr1$, le sel suit le préfixe : k3Pz9QaL.
- Une seule lettre change tout : avec tilleul#2027 en minuscule, les deux lignes répondent ✗.
| Ligne collée | Mot de passe tapé | Résultat |
|---|---|---|
| camille:$2y$10$AvWfJBbARTfhZlkCh3ojq.yrwAhlsW9ZCI3XW29JIxb81rKDXoQDS | Tilleul#2027 | camille ✓ (bcrypt) |
| lucas:$apr1$k3Pz9QaL$DaZUDrVHXjJMBAxKf9cZR1 | Tilleul#2027 | lucas ✓ (apr1) |
| camille:$2y$10$AvWf… | tilleul#2027 | camille ✗ (bcrypt) |
| $2y$10$abc | Tilleul#2027 | ✗ hash non reconnu, trop court |
camille ✓ et lucas ✓ : le mot de passe noté ouvre bien les deux comptes, et les compteurs affichent 2 vérifiés, 2 correspondances. La vérification répond seulement oui ou non pour le mot de passe tapé ; elle ne révèle jamais le mot de passe caché derrière un hash.
Comment ça marche
- Collez le hash, ou une ligne .htpasswd entière avec le nom d’utilisateur.
- Tapez le mot de passe.
- Appuyez sur Vérifier. bcrypt est volontairement lent, cela prend donc un instant.
- Plusieurs lignes à la fois, cela va : il vous dit lesquelles correspondent.
Questions fréquentes
- Peut-il me dire quel est le mot de passe ?
- Non, et rien ne le peut. Un hash de mot de passe est à sens unique par conception : la seule façon de le tester est de refaire le même hash avec le même sel et de comparer, ce qui est exactement ce qui se passe ici. Tout site prétendant « déchiffrer » bcrypt cherche le hash dans une table de hashs déjà cassés.
- Quels formats lit-il ?
- bcrypt ($2a$, $2b$, $2y$), l’APR1 d’Apache ($apr1$), la forme {SHA} qu’écrit htpasswd, et un simple condensé MD5 en hexadécimal. Cela couvre ce qu’on trouve dans un fichier .htpasswd et dans de vieilles bases.
- Pourquoi est-ce lent ?
- Parce que bcrypt est fait pour l’être. Le facteur de coût inscrit dans le hash dit à quel point, et la vérification doit refaire le même travail que l’original : c’est la protection qui fonctionne comme prévu.
- Que signifient $2a$, $2b$, $2y$ et le nombre qui suit ?
- Les trois préfixes désignent le même bcrypt, écrit par des bibliothèques différentes ($2y$ vient en général de PHP) : la vérification les lit de la même façon, en reprenant le sel et le coût inscrits dans le hash. Le nombre, 10 dans $2y$10$, est le coût : chaque point de plus double le temps de calcul, à la création comme à la vérification.
- Un mot de passe de plus de 72 caractères est-il vérifié en entier ?
- Non : bcrypt n’utilise que les 72 premiers octets du mot de passe, et cette vérification fait de même. Tout ce qui suit est ignoré, si bien que deux mots de passe identiques sur leurs 72 premiers octets correspondent au même hash. Une lettre accentuée compte pour 2 octets, ce qui atteint la limite plus tôt.
- Mon mot de passe part-il quelque part, et est-ce gratuit ?
- Non, rien ne part : le calcul se fait dans votre navigateur et rien ne quitte la machine — c’est la seule manière pour une page de demander honnêtement un vrai mot de passe. Et oui, la vérification est gratuite.