Segurança

Não. Estas ferramentas são JavaScript rodando no seu navegador: o valor que você digita é processado no seu próprio dispositivo e nunca é transmitido. Dá para confirmar: abra a página, desconecte da internet e todas as ferramentas continuam funcionando.

Não. Hash é uma via de mão única por construção: a mesma entrada sempre gera o mesmo hash, mas o hash não guarda caminho de volta. Todo site que anuncia "descriptografar hash" está, na verdade, consultando uma tabela de valores comuns já calculados ou testando palpites por força bruta até um bater. Se você não sabe qual algoritmo gerou um hash, o identificador de hash reduz as possibilidades pelo tamanho e formato.

Para segurança, não. Existem ataques práticos de colisão contra os dois: o MD5 caiu em 2004 e o SHA-1 foi quebrado pelo ataque SHAttered em 2017. Colisão significa que um atacante consegue fabricar duas entradas diferentes com o mesmo hash. Eles continuam úteis como checksum rápido, para detectar corrupção acidental de arquivo ou achar duplicatas. Para assinaturas, certificados ou qualquer coisa que um adversário possa atacar, use SHA-256 ou SHA-512.

bcrypt, não SHA-256. Os algoritmos SHA foram feitos para ser rápidos, e velocidade é exatamente o que ajuda quem roubou o seu banco de dados: uma GPU atual testa bilhões de tentativas de SHA-256 por segundo. O bcrypt é lento de propósito e aplica um salt em cada senha, então senhas iguais geram hashes diferentes e quebrar o banco offline fica caro. Use o verificador bcrypt para conferir uma senha contra um hash já existente.

Não, e nem é essa a intenção. São cifras clássicas, quebráveis com papel e caneta — o ROT13 dá para ler no olho depois que você reconhece o padrão. Elas estão aqui porque desafios de CTF, jogos de enigma e strings ofuscadas usam essas cifras o tempo todo. Para criptografia de verdade, use AES.