Bcrypt हैश जनरेटर और वेरिफायर
अपने ब्राउज़र में अनुकूली पासवर्ड हैश बनाएँ और सत्यापित करें। bcrypt-शैली के परीक्षण के लिए शुद्ध-JS विकल्प के रूप में Web Crypto के माध्यम से PBKDF2-SHA256 का उपयोग करता है।
अपडेट किया गया
PBKDF2 Hash Generator & Verifier
Generate and verify adaptive password hashes directly in your browser. Uses PBKDF2-SHA256 via the Web Crypto API as a pure-JS fallback for bcrypt-style testing and learning.
Running in PBKDF2 fallback mode
The bcryptjs package is not installed, so true bcrypt isn’t available client-side. This tool substitutes PBKDF2-SHA256 (Web Crypto) with an adaptive cost factor mapped from the familiar bcrypt “rounds” parameter. Output format: $pbkdf2-sha256$rounds$salt$hash.
Generate Hash
Security Notes
Never run client-side hashing for real authentication.
This tool is for testing, learning, and generating reference hashes only. Production password hashing must happen on the server, behind rate limits, with a vetted library (bcrypt, argon2, scrypt). The client can never be trusted to enforce cost factors or keep the plaintext out of attackers’ hands.
Why bcrypt (and bcrypt-style KDFs)?
- Adaptive cost: the
roundsfactor lets you increase work as hardware gets faster, without changing the algorithm. - Salt built-in: every hash embeds a unique random salt, so identical passwords still produce different hashes and rainbow tables are useless.
- GPU/ASIC-resistant: bcrypt’s memory-access pattern (and argon2’s explicit memory hardness) makes massively parallel cracking expensive compared to plain SHA-256.
- Slow by design: a legitimate login tolerates 100 ms of work, but an attacker trying billions of guesses cannot.
अक्सर पूछे जाने वाले प्रश्न
क्या यह असली bcrypt है?
नहीं — bcryptjs इंस्टॉल नहीं है, इसलिए यह टूल Web Crypto के माध्यम से PBKDF2-SHA256 पर वापस आ जाता है। यह एक कॉन्फ़िगर करने योग्य कॉस्ट फैक्टर वाला अनुकूली सॉल्टेड KDF है, जो परीक्षण और सीखने के लिए उपयुक्त है।
राउंड्स स्लाइडर क्या करता है?
राउंड्स कॉस्ट फैक्टर है; यह 2^राउंड्स x 1000 के माध्यम से PBKDF2 इटरेशन में मैप होता है। प्रत्येक राउंड काम को दोगुना कर देता है, जिससे हार्डवेयर बेहतर होने पर भी हैश मज़बूत बने रहते हैं।
क्या मैं इसका उपयोग वास्तविक प्रमाणीकरण के लिए कर सकता हूँ?
नहीं। वास्तविक प्रमाणीकरण के लिए पासवर्ड को कभी भी क्लाइंट-साइड पर हैश न करें। रेट लिमिटिंग के पीछे किसी प्रमाणित लाइब्रेरी (bcrypt, argon2id, scrypt) के साथ सर्वर पर हैश करें।
क्या Bcrypt Hash Generator & Verifier उपयोग के लिए मुफ़्त है?
हाँ, Bcrypt Hash Generator & Verifier 100% मुफ़्त है, बिना पंजीकरण, बिना छिपे शुल्क और बिना उपयोग सीमा के। सभी प्रोसेसिंग आपके ब्राउज़र में स्थानीय रूप से होती है, जो पूर्ण गोपनीयता सुनिश्चित करती है।
क्या इस टूल के साथ मेरा डेटा सुरक्षित है?
बिल्कुल। Bcrypt Hash Generator & Verifier सब कुछ आपके ब्राउज़र में क्लाइंट-साइड पर प्रोसेस करता है। कोई भी डेटा किसी सर्वर पर अपलोड या संग्रहीत नहीं किया जाता। आपकी सामग्री हर समय आपके डिवाइस पर निजी रहती है।
क्या Bcrypt Hash Generator & Verifier मोबाइल डिवाइस पर काम करता है?
हाँ, Bcrypt Hash Generator & Verifier पूरी तरह रिस्पॉन्सिव है और स्मार्टफ़ोन व टैबलेट पर काम करता है। आप इसे किसी भी आधुनिक वेब ब्राउज़र वाले डिवाइस पर इस्तेमाल कर सकते हैं — किसी ऐप डाउनलोड की आवश्यकता नहीं।
क्या इस टूल का उपयोग करने के लिए मुझे खाता बनाना होगा?
किसी खाते या पंजीकरण की आवश्यकता नहीं है। बस अपने ब्राउज़र में Bcrypt Hash Generator & Verifier खोलें और तुरंत इसका उपयोग शुरू करें। कोई साइन-अप बाधा या उपयोग प्रतिबंध नहीं है।
मैं Bcrypt Hash Generator & Verifier का उपयोग कैसे करूँ?
बस दिए गए फ़ील्ड में अपना इनपुट दर्ज करें, अपनी पसंद के अनुसार सेटिंग्स समायोजित करें, और टूल इसे तुरंत प्रोसेस कर देगा। फिर आप परिणाम को अपने क्लिपबोर्ड पर कॉपी कर सकते हैं या डाउनलोड कर सकते हैं।
कौन-से ब्राउज़र समर्थित हैं?
Bcrypt Hash Generator & Verifier सभी आधुनिक ब्राउज़रों में काम करता है, जिनमें Chrome, Firefox, Safari, Edge और Opera शामिल हैं। बेहतरीन अनुभव के लिए अपने पसंदीदा ब्राउज़र के नवीनतम संस्करण का उपयोग करें।
bcrypt और PBKDF2 में क्या अंतर है?
bcrypt और PBKDF2 दोनों ही एडेप्टिव, सॉल्टेड पासवर्ड-हैशिंग फ़ंक्शन हैं, लेकिन इनकी बनावट अलग है। bcrypt, Blowfish सिफ़र पर आधारित है और इसका कॉस्ट फैक्टर तय करता है कि यह कितने की-सेटअप राउंड्स चलाता है, जिसकी वजह से यह एक तय मात्रा में मेमोरी भी इस्तेमाल करता है। PBKDF2 बस किसी अंतर्निहित हैश जैसे HMAC-SHA256 को कई बार दोहराता है, इसलिए इसका कॉस्ट एक इटरेशन काउंट से तय होता है, न कि लॉगारिदमिक राउंड नंबर से। दोनों में वे गुण साझा हैं जो पासवर्ड स्टोरेज के लिए मायने रखते हैं: एक यूनीक सॉल्ट, एक ट्यून करने योग्य वर्क फैक्टर, और जानबूझकर की गई धीमी गति। PBKDF2 FIPS-अप्रूव्ड है और ब्राउज़र के Web Crypto API में पहले से मौजूद है, यही वजह है कि यह टूल इसे विकल्प के रूप में इस्तेमाल करता है। ऊपर एक हैश जनरेट करें और देखें कि राउंड्स स्लाइडर पर हर कदम काम को कैसे दोगुना करता है, ठीक वैसे ही जैसे bcrypt का कॉस्ट फैक्टर करता है।
एक ही पासवर्ड हर बार अलग हैश क्यों देता है?
हर बार जब आप हैश जनरेट करते हैं, टूल ब्राउज़र के crypto.getRandomValues का उपयोग करके एक ताज़ा 16-बाइट रैंडम सॉल्ट बनाता है, फिर उस सॉल्ट को डिराइवेशन में मिला देता है। चूँकि हर बार सॉल्ट अलग होता है, दो एक जैसे पासवर्ड दो पूरी तरह अलग आउटपुट स्ट्रिंग देते हैं। यह जानबूझकर किया जाता है और सुरक्षित पासवर्ड स्टोरेज की सबसे अहम खूबियों में से एक है: इसका मतलब है कि कोई हमलावर यह नहीं बता सकता कि दो यूज़र्स ने एक जैसा पासवर्ड चुना है, और यह पहले से बने रेनबो टेबल को बेकार कर देता है, क्योंकि उन्हें हर यूनीक सॉल्ट के लिए दोबारा बनाना पड़ेगा। सॉल्ट कोई गुप्त चीज़ नहीं है, इसलिए इसे सीधे हैश स्ट्रिंग के सॉल्ट सेगमेंट में स्टोर किया जाता है, ताकि वेरिफ़िकेशन बाद में उसी वैल्यू का दोबारा इस्तेमाल कर सके। ऊपर एक ही पासवर्ड को दो बार जनरेट करके देखें कि दो अलग हैश मिलते हैं, जो दोनों ही सही तरीके से वेरिफ़ाई होते हैं।
मूल पासवर्ड को स्टोर किए बिना वेरिफ़िकेशन कैसे काम करता है?
वेरिफ़िकेशन के लिए कभी भी मूल पासवर्ड को रिकॉर्ड में रखने की ज़रूरत नहीं होती; इसके लिए सिर्फ़ स्टोर किया गया हैश चाहिए। जब आप Verify टैब में एक पासवर्ड और एक मौजूदा हैश पेस्ट करते हैं, तो टूल हैश स्ट्रिंग में से सीधे कॉस्ट फैक्टर और सॉल्ट पढ़ लेता है, क्योंकि दोनों इसी के अंदर एन्कोड होते हैं। इसके बाद यह आपके डाले गए पासवर्ड पर बिल्कुल वही डिराइवेशन दोबारा चलाता है और नए हिसाब किए गए नतीजे की तुलना स्टोर किए गए नतीजे से करता है। अगर वे मेल खाते हैं, तो पासवर्ड सही है। यह तुलना एक कॉन्स्टेंट-टाइम चेक का इस्तेमाल करती है जो हमेशा हर बाइट की जाँच करती है, ताकि कोई हमलावर यह देखकर कुछ न सीख सके कि गलत गेस को कितनी तेज़ी से खारिज किया गया। यही तरीका असली लॉगिन सिस्टम भी अपनाते हैं: हैश स्टोर होते हैं, प्लेनटेक्स्ट पासवर्ड नहीं। इसे आज़माने के लिए एक हैश जनरेट करें, फिर उसे वापस Verify टैब में पेस्ट करके मैच की पुष्टि करें।
पासवर्ड हैशिंग के लिए सही कॉस्ट फैक्टर कैसे चुनें?
कॉस्ट फैक्टर तय करता है कि हर हैश में कितना काम लगता है, और सही वैल्यू सुरक्षा और लॉगिन स्पीड के बीच एक संतुलन है। यहाँ राउंड्स स्लाइडर 4 से 14 तक चलता है, जो PBKDF2 इटरेशन्स में 2 की rounds पावर, गुणा 1000 के बराबर होता है, यानी हर अतिरिक्त राउंड काम को दोगुना कर देता है। राउंड 10 एक समझदारी भरा डिफ़ॉल्ट है, जो लगभग दस लाख इटरेशन्स के बराबर है; 4 जैसे कम वैल्यू जल्दी डेमो के लिए ठीक हैं, जबकि 14 जानबूझकर भारी रखा गया है। एक आम अंगूठा-नियम यह है कि उतना ऊँचा कॉस्ट चुनें जितना आपका सर्वर झेल सके, फिर भी एक वैध लॉगिन को लगभग 100 मिलीसेकंड के भीतर रखते हुए, क्योंकि धीमे लॉगिन यूज़र्स को परेशान करते हैं जबकि तेज़ हैश हमलावरों की मदद करते हैं। चूँकि यह फ़ंक्शन एडेप्टिव है, आप बाद में हार्डवेयर बेहतर होने पर कॉस्ट बढ़ा सकते हैं। ऊपर स्लाइडर घुमाएँ और टाइमिंग रीडआउट देखकर इस ट्रेडऑफ़ को महसूस करें।
MD5 और SHA-256 को पासवर्ड हैशिंग के लिए असुरक्षित क्यों माना जाता है?
MD5 और SHA-256 तेज़, सामान्य-उद्देश्य वाले हैश फ़ंक्शन हैं, और यही तेज़ी पासवर्ड के लिए असल समस्या है। एक आधुनिक GPU प्रति सेकंड अरबों प्लेन MD5 या SHA-256 हैश कैलकुलेट कर सकता है, इसलिए अगर कोई डेटाबेस लीक होता है, तो हमलावर चुराए गए हैश के खिलाफ़ बड़ी-बड़ी वर्डलिस्ट लगभग तुरंत टेस्ट कर सकता है। इनमें कोई बिल्ट-इन सॉल्ट भी नहीं होता, यानी एक जैसे पासवर्ड एक जैसा हैश साझा करते हैं और पहले से बने रेनबो टेबल इन्हें पलक झपकते क्रैक कर देते हैं। bcrypt, scrypt, argon2 और यहाँ इस्तेमाल हो रहे PBKDF2 जैसे एडेप्टिव फ़ंक्शन इस गणित को पलट देते हैं: वे एक यूनीक सॉल्ट और एक ट्यून करने योग्य कॉस्ट फैक्टर जोड़ते हैं जो हर गेस को जानबूझकर महंगा बनाता है, जिससे एक लॉगिन तेज़ रहता है लेकिन बड़े पैमाने पर क्रैकिंग अव्यावहारिक हो जाती है। यह टूल आपको उस कॉस्ट फैक्टर के साथ सीधे प्रयोग करने देता है और यह देखने देता है कि धीमी, सॉल्टेड हैशिंग किसी हमले की अर्थव्यवस्था को कैसे बदल देती है।
Embed This Tool
Add a free, live version of this widget to your own website or blog post — it runs entirely in your visitors' browsers, with a credit link back to The Toolbox.
<iframe src="https://getthetoolbox.com/embed/bcrypt-generator" title="Bcrypt Hash Generator & Verifier — The Toolbox" width="100%" height="280" style="max-width:480px;border:1px solid #e2e8f0;border-radius:12px" loading="lazy"></iframe>
<p style="font-size:12px;margin:4px 0 0"><a href="https://getthetoolbox.com/security-tools/bcrypt-generator?utm_source=embed&utm_medium=widget" target="_blank" rel="noopener">Free Bcrypt Hash Generator & Verifier</a> by The Toolbox</p>संबंधित टूल
मुफ़्त हैश वेरिफ़ायर ऑनलाइन
हैश चेकसम की तुलना करके फ़ाइल की अखंडता सत्यापित करें। मुफ़्त, तेज़ और पूरी तरह आपके ब्राउज़र में, बिना साइन-अप के।
मुफ़्त सिक्योरिटी हेडर विश्लेषक
वेबसाइट के सिक्योरिटी हेडर जाँचें और सुधार के सुझाव पाएँ। मुफ़्त, तेज़ और पूरी तरह आपके ब्राउज़र में काम करता है, बिना साइन-अप के।
मुफ़्त एन्क्रिप्शन/डिक्रिप्शन टूल
AES, DES और अन्य एल्गोरिद्म से टेक्स्ट एन्क्रिप्ट और डिक्रिप्ट करें। मुफ़्त, तेज़ और पूरी तरह आपके ब्राउज़र में काम करता है, बिना साइन-अप के।
मुफ़्त HMAC जनरेटर ऑनलाइन
कई हैशिंग एल्गोरिद्म का उपयोग करके API प्रमाणीकरण के लिए HMAC हस्ताक्षर बनाएँ। मुफ़्त, तेज़ और पूरी तरह आपके ब्राउज़र में काम करता है, बिना साइन-अप के।
Bcrypt Hash Generator & Verifier के बारे में
Bcrypt Hash Generator & Verifier एक मुफ़्त, ब्राउज़र-आधारित टूल है जो सॉल्टेड, एडेप्टिव पासवर्ड हैश बनाने और किसी पासवर्ड को मौजूदा हैश से मिलाकर जाँचने के लिए बना है। यह उन डेवलपर्स के लिए है जो यह सीख रहे हैं कि पासवर्ड स्टोरेज कैसे काम करती है, उन सिक्योरिटी स्टूडेंट्स के लिए जो कॉस्ट फैक्टर के साथ प्रयोग कर रहे हैं, और उन इंजीनियरों के लिए जिन्हें बैकएंड बनाए बिना जल्दी से एक रेफरेंस हैश चाहिए। सब कुछ आपके डिवाइस पर लोकल रूप से होता है — कोई साइन-अप नहीं, कोई अपलोड नहीं, और इस्तेमाल की कोई सीमा नहीं।
एक बात शुरू में ही साफ़ कर देनी चाहिए: यह टूल असली bcrypt हैश जनरेट नहीं करता। bcryptjs पैकेज इसमें बंडल नहीं किया गया है, इसलिए यह PBKDF2 फ़ॉलबैक मोड में चलता है, और ब्राउज़र के नेटिव Web Crypto API के ज़रिए PBKDF2-SHA256 से हैश बनाता है। PBKDF2 एक वास्तविक, स्टैंडर्डाइज़्ड की-डिराइवेशन फ़ंक्शन है जो bcrypt की अहम खूबियाँ साझा करता है — एक यूनीक रैंडम सॉल्ट, एक ट्यून करने योग्य कॉस्ट फैक्टर, और जानबूझकर की गई धीमी गति — जिससे यह टेस्टिंग और सीखने के लिए एक भरोसेमंद विकल्प बन जाता है, भले ही आउटपुट फ़ॉर्मैट अलग हो।
हैश कैसे जनरेट और वेरिफ़ाई करें
इंटरफ़ेस में दो टैब हैं। Generate टैब पर आप एक पासवर्ड डालते हैं और राउंड्स स्लाइडर से कॉस्ट फैक्टर चुनते हैं, फिर हैश बनाने के लिए क्लिक करते हैं। Verify टैब पर आप एक पासवर्ड और एक मौजूदा हैश पेस्ट करते हैं, और टूल बताता है कि वे मेल खाते हैं या नहीं।
- कॉस्ट फैक्टर (राउंड्स): स्लाइडर 4 से 14 तक की रेंज में है। राउंड्स, PBKDF2 इटरेशन्स में 2^rounds × 1000 के रूप में बदलते हैं, यानी हर एक कदम ऊपर जाने पर काम दोगुना हो जाता है। राउंड 10 अनुशंसित डिफ़ॉल्ट है (लगभग 1,024,000 इटरेशन्स); 4 डेमो के लिए तेज़ है और 14 जानबूझकर धीमा रखा गया है।
- रैंडम सॉल्ट: हर हैश में
crypto.getRandomValuesसे जनरेट किया गया एक ताज़ा 16-बाइट सॉल्ट एम्बेड होता है, इसलिए एक जैसे पासवर्ड भी अलग-अलग हैश देते हैं और पहले से बने रेनबो टेबल बेकार हो जाते हैं। - आउटपुट फ़ॉर्मैट: हैश
$pbkdf2-sha256$rounds$salt$hashके रूप में मिलता है, जिसमें सॉल्ट और डिराइव्ड की base64 में स्टोर होती हैं। कॉस्ट फैक्टर इसी स्ट्रिंग के अंदर मौजूद रहता है, जिससे वेरिफ़िकेशन को पता चलता है कि कितने इटरेशन्स दोहराने हैं। - टाइमिंग फ़ीडबैक: हैश जनरेट होने के बाद टूल दिखाता है कि इसमें कितने मिलीसेकंड लगे, जिससे आपको यह अंदाज़ा मिलता है कि आपके हार्डवेयर पर कॉस्ट फैक्टर असल में कितना काम बढ़ाता है।
वेरिफ़िकेशन, स्टोर की गई स्ट्रिंग में मौजूद सॉल्ट और राउंड्स का इस्तेमाल करके पासवर्ड से हैश को फिर से डिराइव करता है, फिर उसकी तुलना एक कॉन्स्टेंट-टाइम चेक से करता है जो तुलना में लगने वाले समय के ज़रिए कोई जानकारी लीक नहीं होने देता।
एडेप्टिव, सॉल्टेड हैशिंग क्यों ज़रूरी है
पासवर्ड को प्लेन टेक्स्ट या तेज़ हैश जैसे कि सीधे MD5 या SHA-256 में स्टोर करना खतरनाक है, क्योंकि आधुनिक GPU प्रति सेकंड अरबों गेस टेस्ट कर सकते हैं। bcrypt, scrypt, argon2 और PBKDF2 जैसे एडेप्टिव फ़ंक्शन ठीक इसी का मुकाबला करने के लिए बनाए गए हैं:
- एडेप्टिव कॉस्ट आपको हार्डवेयर के बेहतर होने के साथ-साथ वर्क फैक्टर बढ़ाने देता है, बिना एल्गोरिदम बदले या यूज़र्स को माइग्रेट किए।
- बिल्ट-इन यूनीक सॉल्ट रेनबो टेबल को बेकार कर देता है और एक जैसा पासवर्ड रखने वाले दो यूज़र्स को एक ही हैश साझा करने से रोकता है।
- जानबूझकर धीमा होना ही इसका मुख्य मकसद है: एक वैध लॉगिन आराम से 100 मिलीसेकंड का काम झेल सकता है, लेकिन यही कॉस्ट किसी ऑफ़लाइन क्रैकिंग कैम्पेन को बेहद महंगा बना देती है।
ज़रूरी बात: यह सीखने के लिए है, प्रोडक्शन ऑथेंटिकेशन के लिए नहीं
असली ऑथेंटिकेशन के लिए पासवर्ड को कभी भी क्लाइंट-साइड पर हैश न करें। ब्राउज़र पर यह भरोसा नहीं किया जा सकता कि वह कॉस्ट फैक्टर लागू करेगा या प्लेनटेक्स्ट को हमलावर से दूर रखेगा, और हैशिंग लॉजिक को क्लाइंट पर भेजना उसे उजागर कर देता है। असली पासवर्ड स्टोरेज सर्वर पर, रेट लिमिटिंग के पीछे, और एक जाँची-परखी लाइब्रेरी — bcrypt, argon2id या scrypt — का इस्तेमाल करके होनी चाहिए। इस Bcrypt Hash Generator & Verifier को एक सैंडबॉक्स की तरह देखें: यहाँ आप देख सकते हैं कि सॉल्ट, कॉस्ट फैक्टर और वेरिफ़िकेशन कैसे काम करते हैं, इस्तेमाल-और-फेंक रेफरेंस हैश बना सकते हैं, और अपने बैकएंड पर असली सिस्टम जोड़ने से पहले इसकी समझ बना सकते हैं।