Bcrypt est une fonction de hachage de mots de passe conçue pour être lente et coûteuse en calcul, la rendant résistante aux attaques par force brute. C'est la norme industrielle pour stocker les mots de passe en toute sécurité.
Comment fonctionne Bcrypt
Bcrypt utilise le chiffrement Blowfish avec un sel et un facteur de coût. Le facteur de coût (rounds) détermine combien d'itérations l'algorithme effectue - chaque incrément double le temps de calcul, rendant les attaques exponentiellement plus difficiles.
Pourquoi utiliser Bcrypt ?
Contrairement à MD5/SHA qui sont rapides (mauvais pour les mots de passe), bcrypt est intentionnellement lent. Cela rend les attaques par force brute impraticables. Un coût de 10 signifie 2^10 (1 024) itérations, prenant ~100ms pour hacher - négligeable pour la connexion mais dévastateur pour les attaquants essayant des milliards de mots de passe.
Meilleures pratiques de sécurité
Utilisez un coût de 10-12 pour la plupart des applications. Le coût 10 est le minimum recommandé actuel. N'utilisez jamais MD5 ou SHA-1 pour les mots de passe - ils sont cassés. Ne stockez jamais de mots de passe en clair. Utilisez toujours bcrypt, Argon2 ou scrypt pour le hachage de mots de passe.