Générateur PBKDF2 en ligne (SHA-256)

Dérivez une clé PBKDF2-HMAC-SHA256 depuis un mot de passe : nombre d’itérations réglable, sel automatique, dans votre navigateur.

Standard historique (RFC 8018), largement pris en charge. Peu coûteuse en mémoire : exige beaucoup d’itérations.

Empreinte (format à stocker)

—

Vérifier un mot de passe
Empreinte encodée
Mot de passe à tester
Saisissez une empreinte et un mot de passe.

Traitement 100 % local, rien n'est envoyé

Comment ça marche ?

PBKDF2 (RFC 8018) dérive une clé à partir d’un mot de passe en répétant une fonction HMAC un grand nombre de fois. Contrairement à Argon2 ou scrypt, il est peu coûteux en mémoire : sa seule défense est le nombre d’itérations, qu’il faut donc élever.

Cet outil utilise PBKDF2-HMAC-SHA256. L’empreinte encodée contient le nombre d’itérations et le sel. Le calcul se fait dans un worker.

Exemples

Recommandation OWASP

Au moins 600 000 itérations pour SHA-256 (recommandation OWASP). L’empreinte commence par $pbkdf2-sha256$i=600000$….

Pris en charge partout

PBKDF2 est disponible nativement dans les navigateurs (SubtleCrypto) et la plupart des plateformes, ce qui explique sa persistance malgré des fonctions plus modernes comme Argon2.

Questions fréquentes

Pourquoi le calcul prend-il plusieurs secondes ?
C’est voulu. Ces fonctions sont conçues pour être lentes et gourmandes, afin qu’un attaquant qui aurait volé la base de données ne puisse tester que très peu de mots de passe par seconde. Le calcul s’exécute dans un worker : la page reste réactive.
PBKDF2 est-il encore recommandé ?
Il reste acceptable avec un nombre d’itérations élevé et est parfois imposé par des normes (FIPS). Mais face à un attaquant équipé de GPU, Argon2id ou scrypt, coûteux en mémoire, offrent une meilleure protection.
Mes données sont-elles envoyées quelque part ?
Non. Tout le calcul se fait dans votre navigateur, en JavaScript et WebAssembly. Votre texte, vos fichiers et vos empreintes ne quittent jamais votre appareil : aucune requête réseau n’est faite pendant le hachage, et rien n’est enregistré sur un serveur.

Outils liés