---
title: "WordPress 6.8 přepíná na bcrypt: proč můžeš bez obav zahodit wp-password-bcrypt"
url: "https://helloblog.io/cs/wordpress-6-8-bcrypt-wp-password-bcrypt-konec/"
date: "2025-02-20"
modified: "2026-01-20"
author: "Jakub Dvořák"
language: "cs_CZ"
categories: ["Ekosystém WordPress"]
tags: ["autentizace", "bcrypt", "bezpečnost", "Roots", "WordPress"]
featured_image: "https://helloblog.io/app/uploads/sites/11/2026/01/featured-8-1024x572.jpg"
excerpt: "WordPress 6.8 konečně přináší bcrypt do jádra a výrazně tím zlepšuje bezpečnost přihlašování. Pokud máš v projektu balíček wp-password-bcrypt, je to ideální chvíle ho vyřadit – bez migrací a bez rozbíjení stávajících hesel."
---

# WordPress 6.8 přepíná na bcrypt: proč můžeš bez obav zahodit wp-password-bcrypt

Kdo někdy řešil bezpečnost přihlašování u starších WordPress instalací, narazil na nepříjemnou realitu: hashování hesel v jádře dlouho nezaostávalo jen „trochu“, ale v praxi to znamenalo slabší ochranu oproti tomu, na co jsme zvyklí z moderních aplikací. Komunita kolem Roots to kdysi řešila pragmaticky balíčkem `wp-password-bcrypt` – dnes se ale karta obrací.

Podle oznámení k WordPress 6.8 se bcrypt stane výchozí metodou hashování hesel přímo v core. Tím se z `wp-password-bcrypt` stává v zásadě historická berlička: na webech běžících na WordPressu 6.8+ už nedává smysl ho dál tahat do projektu.

## Co se v WordPress 6.8 mění (a proč je to důležité)

`bcrypt` je zavedený adaptivní hashing algoritmus pro hesla. „Adaptivní“ v praxi znamená, že jde zvyšovat výpočetní náročnost (cost), takže i když hardware útočníků časem zrychluje, můžeš držet krok. Pro autentizaci je to výrazný posun oproti starším přístupům.

Důležitý detail z pohledu provozu: WordPress má v core vlastní vrstvu pro práci s hesly, takže změna algoritmu není jen o tom „uložit novou hodnotu do databáze“, ale hlavně o tom, aby ověřování fungovalo hladce pro existující uživatele.

## Proč Roots ukončují wp-password-bcrypt

Balíček [`wp-password-bcrypt`](https://github.com/roots/wp-password-bcrypt) vznikl v době, kdy WordPress v jádře bcrypt nepoužíval. Jeho účel byl jednoduchý: zlepšit zabezpečení hesel dřív, než to vyřeší samotný core.

S příchodem WordPress 6.8 se tento důvod vytrácí. Roots proto oznámili, že projekt postupně „sunsetují“ (ukončují) – ne proto, že by byl špatný, ale protože se stal nadbytečným.

- Na Packagistu bude `wp-password-bcrypt` označený jako **abandoned**.
- Zmizí odkazy z Bedrocku a související dokumentace.
- GitHub repozitář bude archivovaný.

## Co to znamená pro tvůj web a nasazení

Pokud tvůj web běží na WordPressu 6.8 nebo novějším, `wp-password-bcrypt` už nepotřebuješ. Podstatné je, že podle oznámení není nutná žádná ruční migrace hesel: existující hesla budou dál fungovat a WordPress core má autentizaci s bcrypt řešit „seamlessly“ (plynule) tam, kde to dává smysl.

#### Dobrá zpráva pro provoz

Na WordPressu 6.8+ můžeš balíček `wp-password-bcrypt` bezpečně odstranit. Není potřeba reset hesel ani jednorázový migrační skript – stávající přihlášení mají dál fungovat.

## Jak wp-password-bcrypt odstranit (typický Composer/Bedrock scénář)

V praxi tohle nejčastěji potká Bedrock projekty spravované přes Composer. Postup je přímočarý – jen si pohlídej, že opravdu míříš na WordPress 6.8+ a že balíček nemáš navázaný ještě na nějakou vlastní integraci.

1. Ověř verzi WordPressu v prostředí, kde chceš změnu provést (minimálně 6.8).
2. Odstraň závislost z Composeru.
3. Projeď deployment a základní smoke test: login, reset hesla, vytvoření nového uživatele.

```
# Odinstalace balíčku z projektu
composer remove roots/wp-password-bcrypt

# Následně standardní deployment krok(y) dle tvého procesu
# (např. composer install --no-dev na serveru, nebo build v CI)
```

#### Pozor na mixed fleet

Pokud spravuješ víc webů a některé ještě nejsou na 6.8, neházej to do jednoho pytle. U instalací \< 6.8 by odstranění balíčku znamenalo návrat na původní chování WordPressu (a tím pádem i horší hashování).

## Co se stane se starými hesly? (bez migrace, ale s logikou)

I když WordPress 6.8 přepíná výchozí algoritmus, typická strategie u podobných změn bývá kompatibilita při ověření a postupný „upgrade“ při příštím přihlášení nebo změně hesla. Roots explicitně uvádí, že žádné migrační kroky nejsou potřeba a že stávající hesla budou dál fungovat – takže provozně je to přesně ten typ změny, kterou chceš: bezpečnost nahoru, riziko dolů.

## Shrnutí pro vývojáře a správce WordPress webů

- WordPress 6.8 má podle oznámení používat bcrypt jako výchozí hashování hesel v core.
- Na webech s WordPress 6.8+ už `wp-password-bcrypt` nedává smysl a může pryč.
- Není potřeba migrace hesel – existující přihlášení mají fungovat i po odstranění balíčku.
- Roots balíček označí jako abandoned, odstraní odkazy z Bedrocku a repozitář archivují.

## Reference / Zdroje

- [Sunsetting wp-password-bcrypt with WordPress 6.8](https://roots.io/sunsetting-wp-password-bcrypt-with-wordpress-6-8/)
- [WordPress 6.8 will use bcrypt for password hashing](https://make.wordpress.org/core/2025/02/17/wordpress-6-8-will-use-bcrypt-for-password-hashing/)
- [roots/wp-password-bcrypt](https://github.com/roots/wp-password-bcrypt)
- [roots/bedrock](https://github.com/roots/bedrock)