Sandino Araico 🇲🇽

Si guardas contraseñas con MD5, SHA256 o "encriptadas", estás a un solo leak de tu DB de regalar todas las cuentas de tus usuarios. Y es más común de lo que crees. Checklist para hacerlo bien: 1. Nunca MD5, SHA1 o SHA256 "pelados". Son hashes rápidos: una GPU prueba miles de millones por segundo. Tu base filtrada se crackea en horas. 2. Base64 no es cifrado ni hashing. Es texto plano con pasos extra. Si lo usas para passwords, borra esa línea hoy. 3. Usa argon2id, que es el estándar recomendado hoy. scrypt y bcrypt siguen siendo válidos (bcrypt no está deprecado). Son lentos a propósito: esa lentitud es la defensa. 4. Salt único por usuario, siempre. argon y bcrypt lo generan y lo guardan solos dentro del hash. Nada de un salt global en el código. 5. Sube el costo (work factor) hasta que un hash tarde cerca de 250 ms en tu servidor. Suficiente para frenar el cracking, tolerable para el login. 6. No limites el largo de la contraseña a 8 o 16 caracteres por "seguridad". Deja pasar passphrases largas. Ojo con bcrypt: corta la entrada a 72 bytes, ese es su límite real. argon2id y scrypt no tienen ese tope. 7. Compara con la función verify de la librería, no con un == contra tu propio hash. Evitas fugas por timing y errores de encoding. 8. Guarda el algoritmo y el costo dentro del propio hash. Cuando subas el cost, rehashea al usuario en su próximo login. Así migras sin pedirle que cambie nada. Hashear bien una contraseña es una línea con la librería correcta. Hacerlo mal es la diferencia entre un incidente contenido y un titular.