Gerador de Hash de Senha do WordPress

Um gerador de hash de senha do WordPress converte uma senha em texto simples para o formato com hash armazenado pelo WordPress. O WordPress nunca mantém senhas em texto simples, portanto uma senha bruta colada no banco de dados não funcionará. Esta ferramenta produz um hash válido que passa pela função wp_check_password().

O gerador é especialmente útil quando você está sem acesso e a recuperação por e-mail não está disponível. Você cria o hash aqui e depois o cola na coluna user_pass usando phpMyAdmin ou WP-CLI. Este gerador de hash de senha do WordPress oferece suporte a todas as versões do WordPress, incluindo a mudança para bcrypt introduzida na versão 6.8.

Usar este gerador de hash de senha do WordPress leva menos de um minuto e não exige plugin. Você só precisa de acesso ao banco de dados por phpMyAdmin, Adminer ou WP-CLI. Siga as etapas abaixo para redefinir uma senha diretamente.

O próximo login com a senha escolhida funcionará imediatamente. O WordPress também atualiza automaticamente o hash armazenado no primeiro login bem-sucedido. Execute esse processo apenas em sites que você possui ou administra.

O WordPress 6.8 alterou a forma de hash das senhas pela primeira vez em anos. O antigo sistema phpass portátil foi substituído pelo bcrypt, um algoritmo muito mais forte. Isso protege melhor cada conta contra ataques de força bruta, tornando cada hash mais caro de quebrar.

O novo hash padrão usa o prefixo $wp$2y$, que indica uma construção especial. O WordPress faz um pré-hash da senha com SHA-384 antes de aplicar o bcrypt, porque o bcrypt ignora tudo após 72 bytes. O marcador adicional $wp diferencia esses hashes dos hashes bcrypt simples criados por plugins. Este gerador de hash de senha do WordPress produz a saída $wp$2y$ correta para a versão 6.8 e posteriores.

Milhões de sites ainda executam versões do WordPress anteriores à 6.8. Essas instalações esperam um hash phpass portátil, que sempre começa com o prefixo $P$. Um hash como $P$HDXCHroge2B4dB55GPnGI0OytnTvap/ é um exemplo típico de phpass.

O formato phpass usa muitas rodadas de MD5 com salt, o que era razoável para a época. Ele é mais fraco que o bcrypt, mas continua válido em qualquer site anterior à versão 6.8. Este gerador de hash do WordPress ainda produz hashes $P$ para essas instalações antigas. No WordPress 6.8, o sistema atualizará silenciosamente um hash phpass para bcrypt na próxima vez que o usuário fizer login.

A escolha do formato correto depende totalmente da sua versão do WordPress. Usar o formato errado não quebrará o site, pois o WordPress aceita vários formatos legados. Correspondê-lo à versão apenas garante que o hash armazenado tenha força máxima desde o início.

A tabela abaixo relaciona cada versão do WordPress ao formato de hash esperado. Verifique sua versão no rodapé do painel administrativo ou no arquivo wp-includes/version.php. Em caso de dúvida, um hash phpass $P$ funciona em todas as versões, pois qualquer versão moderna ainda consegue validá-lo.

A redefinição pelo banco de dados é o método padrão de recuperação quando o acesso administrativo foi perdido. Primeiro, gere o hash da nova senha com esta ferramenta. Mantenha esse hash na área de transferência para a próxima etapa.

Abra o phpMyAdmin no painel da sua hospedagem e selecione o banco de dados do site. Localize a tabela wp_users, encontre a linha do usuário e edite o campo user_pass. Substitua o conteúdo pelo hash gerado e salve a linha. Entre com a nova senha, e o WordPress cuidará do restante.

Desenvolvedores com acesso ao shell podem ignorar completamente o phpMyAdmin. A ferramenta WP-CLI atualiza uma senha com um único comando e cria o hash automaticamente. Executar o comando abaixo define a senha corretamente.

wp user update admin --user_pass=NewPass

O WP-CLI aplica o formato de hash correto para sua versão do WordPress sem etapas manuais. Este gerador de hash do WordPress ainda é útil quando você não tem acesso ao shell ou deseja inspecionar o hash bruto. Ambos os métodos produzem o mesmo resultado; escolha o que melhor se adapta ao seu ambiente.

Sim. Todo hash é gerado localmente no seu navegador usando JavaScript. Suas senhas nunca são enviadas, registradas ou armazenadas em nenhum servidor externo. Isso torna a ferramenta segura até mesmo para credenciais reais de produção.

Cada geração também usa um novo salt aleatório, portanto a mesma senha produz um hash diferente a cada vez. Esse é o comportamento esperado e não afeta o login, pois o salt fica incorporado ao hash. Para criar uma senha forte antes de gerar o hash, use nosso Gerador de Senhas. Para hashes bcrypt simples fora do WordPress, a ferramenta correta é o Gerador e Verificador de Bcrypt.