Revertir Hash

Acerca de Revertir Hash

Esta es una herramienta de aprendizaje para recuperar tus propias contraseñas o sumas de verificación olvidadas y para ver de primera mano por qué algunos hashes son débiles. Recuperar el texto tras hashes que no son tuyos puede ser ilegal. Úsala solo con tus propias cuentas y datos de prueba, o cuando tengas permiso explícito.

Los hashes no se pueden revertir matemáticamente, y esta herramienta no los revierte. Genera cadenas candidatas, calcula el hash de cada una y comprueba si coincide con el objetivo. Por eso el éxito depende menos del algoritmo que de si el texto está entre las candidatas y de cuántas hay que probar. Todo se ejecuta en tu navegador y el hash nunca se sube.

Qué se puede y qué no se puede recuperar

La herramienta trabaja con hashes «rápidos»: MD5, SHA-1, SHA-224/256/384/512, MD4, NTLM y RIPEMD-160. Como se pueden calcular millones de veces por segundo, un texto corto o común se encuentra enseguida y uno largo y aleatorio prácticamente nunca. Lo débil es el texto, no el algoritmo.

A propósito no admite bcrypt, scrypt ni Argon2. Son funciones de hash de contraseñas lentas por diseño: cada intento cuesta tanto tiempo que probar candidatas en masa deja de ser práctico. Cuando las contraseñas de un servicio filtrado resisten, suele ser por esto.

Deduce el algoritmo por la longitud, pero 32 caracteres (MD5, MD4, NTLM) y 40 (SHA-1, RIPEMD-160) son ambiguos. La detección automática prueba primero el más común; elige uno a mano si lo conoces.

Por qué es más lenta que una herramienta de GPU

Las funciones hash están escritas en JS síncrono en vez de la API asíncrona crypto.subtle, porque la función se llama tantas veces por candidata que domina el coste por llamada. Además lanza un worker por núcleo de CPU y reparte el espacio de búsqueda.

Aun así, una herramienta de GPU dedicada es mucho más rápida: una GPU corre el mismo cálculo en miles de núcleos y prueba miles de millones por segundo. El objetivo de esta herramienta no es la velocidad máxima, sino entender el mecanismo sin que el hash salga del navegador.

Por qué los sistemas reales añaden una sal

La herramienta permite anteponer o posponer una cadena fija a cada candidata y volver a calcular el hash varias veces, porque los sistemas reales guardan las contraseñas así, y eso hace visible el efecto de la sal. Un hash sin sal se puede consultar en una tabla precalculada (una rainbow table) de un tirón, pero una sal por usuario inutiliza esas tablas.

Una sal por usuario también hace que dos personas con la misma contraseña tengan hashes distintos. La sal no tiene que ser secreta —suele guardarse junto al hash—; su función es impedir que un solo cálculo rompa muchas cuentas a la vez. Que en esta herramienta necesites la sal exacta para reproducir un texto lo demuestra directamente.

Lo que enseñan de verdad los resultados

Cuanto más común y más corta es la contraseña, antes cae. Al revés, esa es la receta de una segura: larga, que no esté en ningún diccionario y que no se deduzca de datos personales (nombre, cumpleaños, empresa). El NIST SP 800-63B (revisión de 2025) recomienda priorizar la longitud sobre las reglas de composición (sin obligar a mezclar tipos de caracteres) y cotejar las candidatas con listas de contraseñas filtradas.

Si la herramienta falla, ese texto queda fuera de alcance para este método, que es justo el aspecto de una buena contraseña. Genera un valor largo y aleatorio con el generador de contraseñas del sitio y no aparecerá por mucho que la ejecutes.

Ejemplos

Cómo se usa

1. Pega el hash a recuperar; el tipo detectado aparece debajo.
2. Deja el algoritmo en detección automática o elige uno.
3. Elige diccionario, fuerza bruta o máscara, y fija una sal o número de iteraciones si hace falta.
4. Ejecútala. Si acierta, aparece el texto; si no, obtienes el número de intentos y «no encontrado».

Términos clave

Ataque de diccionario

Calcular por turnos el hash de una lista de contraseñas débiles y palabras comunes y comparar. Una opción prueba variaciones habituales como cambios de mayúsculas e inversión.

Fuerza bruta

Probar todas las combinaciones de un conjunto de caracteres, de la más corta a la más larga. El total crece exponencialmente con la longitud, así que las entradas largas son inviables.

Máscara (estilo hashcat)

Un patrón que fija el tipo de carácter por posición: ?l minúscula, ?u mayúscula, ?d dígito, ?s símbolo. Reduce la búsqueda cuando conoces la forma del texto.

Rainbow table

Una tabla precalculada de hash a texto. Una sal por usuario la anula.

Preguntas frecuentes

Guías relacionadas

• Cómo se guardan las contraseñas: del texto plano a Argon2