Hashes de strings en Node.js: createHash, Web Crypto y el aviso de bcrypt

crypto.createHash lleva en Node desde la 0.x y es lo que usan casi todos los snippets que encuentras por la web. Es síncrona, rápida y cubre cualquier algoritmo que exponga OpenSSL (SHA-256, SHA-512, SHA-1, MD5 y los exóticos vía getHashes()).

```js import { createHash } from "node:crypto";

const digest = createHash("sha256") .update("AldeaCode", "utf8") .digest("hex"); ```

Pasa siempre el encoding explícito en update. El default depende de cómo el motor interprete el buffer, y eso muerde la primera vez que alguien mete un string con acentos. utf8 es lo que quieres el 99% del tiempo.

Desde Node 19, globalThis.crypto es la misma Web Crypto API que tienes en el navegador. Es asíncrona, devuelve un ArrayBuffer y te deja enviar el mismo código a un navegador, un Cloudflare Worker y un servidor Node sin tocar nada.

const bytes = new TextEncoder().encode("AldeaCode");
const buffer = await crypto.subtle.digest("SHA-256", bytes);
const hex = [...new Uint8Array(buffer)]
  .map((b) => b.toString(16).padStart(2, "0"))
  .join("");

La Web Crypto API solo soporta SHA-1, SHA-256, SHA-384 y SHA-512. Si necesitas SHA-3 o BLAKE te quedas en createHash. Para todo lo demás, la API portable ya es el mejor default.

Esta es la regla que sigue pillando a gente en producción. SHA-256 de una contraseña no es una contraseña hasheada. Es una línea de GPU. Una tarjeta moderna prueba miles de millones de candidatos SHA-256 por segundo, así que cualquier password de menos de 14 caracteres aleatorios cae en minutos.

Para contraseñas usa bcrypt, scrypt o Argon2id. Node trae scrypt nativo en crypto.scrypt. Para bcrypt o Argon2 instala bcrypt o argon2 desde npm. Son lentas a propósito: el factor de coste se ajusta para que el hash tarde 100 ms hoy y siga siendo caro para un atacante.

SHA es para checksums, content addressing, ETags, claves HMAC e integridad. Otro problema, otra herramienta.

Si vas a hashear un upload de vídeo de 4 GB, no lo cargues en memoria. createHash es un stream y se conecta a una pipe sin quejarse:

```js import { createReadStream } from "node:fs"; import { createHash } from "node:crypto";

const hash = createHash("sha256"); createReadStream("./video.mp4").pipe(hash).on("finish", () => { console.log(hash.digest("hex")); }); ```

La Web Crypto API no tiene equivalente streaming. Si necesitas hashear archivos de varios gigas en un codebase portable, vuelves a createHash quieras o no.