Sicurezza
34 strumenti
Tutti gli strumenti di questa pagina girano nel tuo browser. La password, la chiave o il token che incolli non lascia il tuo dispositivo e non raggiunge mai un server: ed è esattamente questo il punto quando ciò che digiti è un segreto. Genera hash SHA-256, SHA-512 o bcrypt, verifica quanto resisterebbe una password a un attacco, cifra testo con AES, decodifica un JWT, genera codici TOTP, nascondi un messaggio dentro un'immagine o risolvi Caesar, Vigenère e ROT13 in un CTF.
Nessuno strumento corrisponde alla tua ricerca.
Domande frequenti
Le password e le chiavi che incollo vengono inviate al vostro server?
No. Questi strumenti sono JavaScript che gira nel tuo browser: il valore che digiti viene elaborato sul tuo dispositivo e non viene mai trasmesso. Puoi verificarlo: carica la pagina, disconnetti internet e ogni strumento continua a funzionare.
Posso decifrare un hash SHA-256 e recuperare il testo originale?
No. L'hash è unidirezionale per costruzione: lo stesso input produce sempre lo stesso hash, ma l'hash non conserva alcuna via di ritorno. Qualsiasi sito che promette di "decifrare un hash" in realtà consulta una tabella di valori comuni già calcolati oppure prova combinazioni a forza bruta finché una coincide. Se non sai quale algoritmo ha prodotto un hash, l'identificatore di hash restringe il campo in base a lunghezza e formato.
Si possono ancora usare MD5 o SHA-1?
Per la sicurezza no. Contro entrambi esistono attacchi di collisione pratici: MD5 è caduto nel 2004 e SHA-1 è stato rotto dall'attacco SHAttered nel 2017. Una collisione significa che un attaccante può costruire due input diversi con lo stesso hash. Restano validi come checksum veloce, per individuare corruzioni accidentali di file o duplicati. Per firme, certificati o qualsiasi cosa che un avversario possa attaccare, usa SHA-256 o SHA-512.
Quale devo usare per conservare le password degli utenti?
bcrypt, non SHA-256. Gli algoritmi SHA sono progettati per essere veloci, e la velocità è proprio ciò che aiuta chi ha rubato il tuo database: una GPU odierna prova miliardi di tentativi SHA-256 al secondo. bcrypt è lento di proposito e applica un salt a ogni password, così password identiche generano hash diversi e il cracking offline diventa costoso. Usa il verificatore bcrypt per controllare una password contro un hash già esistente.
Caesar, Vigenère, ROT13 e Atbash sono davvero sicuri?
No, e non è quello il loro scopo. Sono cifrari classici, violabili con carta e penna: ROT13 si legge a occhio non appena ne riconosci lo schema. Stanno qui perché le sfide CTF, i giochi enigmistici e le stringhe offuscate li usano di continuo. Per una cifratura vera, usa AES.