---
title: "WordPress 6.8 tekee bcryptistä oletuksen – mitä se tarkoittaa wp-password-bcryptiä käyttäville?"
url: "https://helloblog.io/fi/wordpress-68-bcrypt-wp-password-bcrypt-pois/"
date: "2025-02-20"
modified: "2026-01-20"
author: "Emilia Korhonen"
language: "fi_FI"
categories: ["WordPress-ekosysteemi"]
tags: ["bcrypt", "Bedrock", "Roots", "tietoturva", "WordPress"]
featured_image: "https://helloblog.io/app/uploads/sites/15/2026/01/featured-7-1024x572.jpg"
excerpt: "WordPress 6.8 nostaa salasanahashauksen vihdoin nykypäivään: bcrypt tulee coreen oletuksena. Jos projektissasi on käytössä Roots’in wp-password-bcrypt, se on hyvä hetki siivota riippuvuudet."
---

# WordPress 6.8 tekee bcryptistä oletuksen – mitä se tarkoittaa wp-password-bcryptiä käyttäville?

WordPressin autentikointi on pitkään ollut yksi niistä osa-alueista, joissa ekosysteemi on paikannut corea lisäpalikoilla. Roots’in `wp-password-bcrypt` on ollut tästä hyvä esimerkki: Composer-paketti, joka toi bcrypt-hashauksen WordPressiin ennen kuin core tuki sitä kunnolla.

Tilanne muuttuu WordPress 6.8:n myötä. Julkisten suunnitelmien mukaan bcryptistä tulee WordPress coren oletus salasanahashaukselle, mikä tekee `wp-password-bcrypt`-paketista käytännössä tarpeettoman uudemmissa asennuksissa.

## Mikä muuttuu WordPress 6.8:ssa? (bcrypt coreen)

`bcrypt` on salasanahashausalgoritmi, joka on suunniteltu hitaaksi ja siten kalliiksi brute force -hyökkäyksiä vastaan. Kun WordPress käyttää bcryptiä oletuksena, se parantaa kirjautumisen tietoturvaa ilman, että sinun täytyy asentaa erillistä pluginia tai Composer-riippuvuutta.

Roots viittaa WordPressin core-ilmoitukseen, jonka mukaan WordPress 6.8 käyttää bcryptiä salasanahashaukseen. Käytännön kannalta tärkein seuraus on se, että aiemmin bcryptin tuomiseksi tarvittu `wp-password-bcrypt` jää pois pelistä, kun sivusto pyörii 6.8:ssa tai uudemmassa.

## Jos käytät wp-password-bcryptiä: mitä sinun pitää tehdä?

Jos sivustosi käyttää WordPress 6.8:aa tai uudempaa, et enää tarvitse `wp-password-bcrypt`-pakettia. Roots’in viesti on selkeä: paketin voi poistaa turvallisesti, eikä erillistä salasanamigraatiota tarvita.

Tämä on monelle se kriittinen kysymys: “katkeaako vanhojen käyttäjien kirjautuminen?” Tiedotteen mukaan ei katkea. Olemassa olevat salasanat toimivat edelleen, ja WordPress core hoitaa autentikoinnin bcryptillä silloin kun se on sovellettavissa.

#### Miksi migraatiota ei tarvita?

Roots’in mukaan WordPress core kykenee käsittelemään muutoksen saumattomasti: vanhat salasanat jatkavat toimimista, vaikka `wp-password-bcrypt` poistetaan WordPress 6.8+ -ympäristöstä.

### Käytännön poistosiivous (Composer/Bedrock-tyyli)

Monessa modernissa WordPress-projektissa (esim. Bedrock) `wp-password-bcrypt` on tullut mukaan Composer-riippuvuutena. Poiston idea on yksinkertainen: päivitä WordPress 6.8+:aan ja poista paketti riippuvuuksista. Tarkka komento riippuu projektistasi, mutta tavoitteena on sama: ettei tuotantoon jää turhaa, abandoned-tilaan menevää riippuvuutta.

## Mitä Roots tekee paketille?

Roots kertoo vievänsä muutoksen loppuun myös omassa ylläpidossaan. Konkreettisesti tämä tarkoittaa:

- `wp-password-bcrypt` merkitään Packagistissa tilaan **abandoned**
- Viittaukset poistetaan Bedrockista ja siihen liittyvästä dokumentaatiosta
- GitHub-repositorio arkistoidaan

Tämä on hyvä signaali myös ylläpidon näkökulmasta: vaikka paketti ei “rikki” olisi, abandoned-riippuvuudet alkavat ajan myötä lisätä riskiä (esim. yhteensopivuus, turhat integraatiopisteet, epäselvä ylläpitovastuu).

## Miksi tämä on oikeasti iso juttu WordPress-tietoturvalle?

WordPressin vahvuus on laaja ekosysteemi, mutta autentikointi ja salasanahallinta ovat asioita, joissa core-tason parannus on lähes aina parempi kuin erillinen lisäosa. Kun bcrypt tulee oletukseksi, koko asennuskanta hyötyy: pienemmät sivustot saavat paremman suojan “ilmaiseksi” ja isot projektit voivat yksinkertaistaa stackiaan.

Roots’in `wp-password-bcrypt` oli aikanaan fiksu stopgap-ratkaisu. Nyt kun core tekee saman työn, paras kehittäjäkokemus syntyy siitä, että poistetaan ylimääräinen palikka ja annetaan WordPressin hoitaa se, mikä sille kuuluu.

## Yhteenveto

1. WordPress 6.8 tuo bcryptin oletukseksi salasanahashaukseen (core-tasolla).
2. Jos sivustosi on WordPress 6.8 tai uudempi, `wp-password-bcrypt` on tarpeeton ja sen voi poistaa.
3. Poisto ei Roots’in mukaan vaadi salasanamigraatiota: olemassa olevat salasanat toimivat edelleen.
4. Roots merkitsee paketin abandoned-tilaan, poistaa viittaukset Bedrockista ja arkistoi repositorion.

## Viitteet / Lähteet

- [Sunsetting wp-password-bcrypt with WordPress 6.8](https://roots.io/sunsetting-wp-password-bcrypt-with-wordpress-6-8/)
- [WordPress 6.8 will use bcrypt for password hashing](https://make.wordpress.org/core/2025/02/17/wordpress-6-8-will-use-bcrypt-for-password-hashing/)
- [wp-password-bcrypt](https://github.com/roots/wp-password-bcrypt)
- [Bedrock](https://github.com/roots/bedrock)