---
title: "WordPress 6.8 prelazi na bcrypt: vrijeme je da makneš wp-password-bcrypt iz projekta"
url: "https://helloblog.io/hr/wordpress-6-8-bcrypt-wp-password-bcrypt/"
date: "2025-02-20"
modified: "2026-01-20"
author: "Marko Kovačić"
language: "hr_HR"
categories: ["Sigurnost"]
tags: ["Autentikacija", "bcrypt", "Roots", "Sigurnost", "WordPress"]
featured_image: "https://helloblog.io/app/uploads/sites/22/2026/01/featured-8-1024x572.jpg"
excerpt: "Ako koristiš Rootsov wp-password-bcrypt da bi WordPress lozinke bile sigurnije, WordPress 6.8 ti napokon omogućuje da taj sloj izbaciš bez ikakve migracije."
---

# WordPress 6.8 prelazi na bcrypt: vrijeme je da makneš wp-password-bcrypt iz projekta

Godinama je jedna od češćih zamjerki WordPressu bila priča oko hashiranja lozinki: core je dugo vremena koristio mehanizme koji su danas jednostavno ispod očekivanja za moderne aplikacije. Zbog toga su se pojavila rješenja poput Rootsovog paketa `wp-password-bcrypt`, koji je “zakrpao” problem na način koji je bio pragmatičan i relativno bezbolan za postojeće instalacije.

S WordPressom 6.8 situacija se mijenja iz temelja. Prema najavi na Make WordPress Core, bcrypt postaje zadani (default) algoritam za hashiranje lozinki u samom WordPress coreu. To je velika sigurnosna nadogradnja, ali i signal da su vanjski “patch” paketi poput `wp-password-bcrypt` odsad suvišni.

## Što se konkretno mijenja u WordPressu 6.8

bcrypt je provjeren algoritam za pohranu lozinki koji je dizajniran da bude spor i otporan na brute-force napade (uz konfigurabilan “cost”). U praksi, to znači da je kompromitiranje baze s hashiranim lozinkama osjetno teže nego kod bržih, starijih pristupa.

Najbitniji dio priče: WordPress 6.8 (prema objavi) ugrađuje bcrypt u core i koristi ga kao zadanu metodu za hashiranje korisničkih lozinki. Time WordPress autentikacija postaje modernija bez dodatnih pluginova ili Composer paketa.

## Zašto wp-password-bcrypt ide u “sunset”

Rootsov `wp-password-bcrypt` je nastao upravo zato da WordPress instalacije dobiju jače hashiranje prije nego što to dođe u core. Kad core preuzme istu odgovornost, dodatni paket postaje redundantna komponenta koja samo povećava površinu održavanja: još jedan dependency, još jedna potencijalna točka konflikta i još jedan element koji treba pratiti kroz updateove.

Roots je zato najavio da će, s obzirom na WordPress 6.8, krenuti s gašenjem (sunsetting) paketa:

- na Packagistu će `wp-password-bcrypt` biti označen kao **abandoned**
- reference će biti uklonjene iz Bedrocka i povezane dokumentacije
- GitHub repozitorij će biti arhiviran

## Imam WordPress 6.8+ — mogu li samo maknuti paket?

Da. Ako ti je site na WordPressu 6.8 ili novijem, prema Rootsovoj objavi `wp-password-bcrypt` više nije potreban i možeš ga sigurno ukloniti. Bitno: ne trebaš raditi nikakvu migraciju lozinki. Postojeće lozinke nastavljaju raditi, a WordPress core preuzima autentikaciju i koristi bcrypt gdje je primjenjivo.

#### Praktična poruka za deploy

Najveća dobit je što možeš pojednostaviti dependency stablo: manje paketa, manje mogućih edge-caseova i jasnija sigurnosna priča jer je sve u coreu.

## Kako to izgleda u Bedrock/Composer projektima

Ako si u Bedrocku dodavao `roots/wp-password-bcrypt` kroz Composer, promjena je tipično vrlo jednostavna: ukloniti dependency i deployati kao i inače. Roots je najavio da će i sami ukloniti reference iz Bedrocka i dokumentacije, što je dobar znak da se “mainstream” put modernih WordPress projekata pojednostavljuje.

```
# Uklanjanje paketa iz Composer dependencija
composer remove roots/wp-password-bcrypt

# Standardni koraci nakon toga ovise o tvom workflowu:
# - commit composer.lock
# - deploy
# - provjeri login na stagingu/produkciji
```

Nakon deploya, fokusiraj se na osnovni smoke test: login/logout, reset lozinke i kreiranje novog korisnika. Ne zato što očekuješ problem, nego zato što je to najbrži način da potvrdiš da je autentikacija očekivano prešla na core implementaciju.

## Što ako sam još na WordPressu prije 6.8?

Rootsova objava se eksplicitno veže uz WordPress 6.8 i kasnije. Ako si na starijoj verziji, `wp-password-bcrypt` i dalje ima smisla u kontekstu “jačeg hashiranja prije core podrške”, ali treba uračunati da je paket na putu prema napuštanju (abandoned) i arhiviranju repozitorija. U praksi, to je još jedan razlog da planiraš upgrade WordPressa — ne samo zbog featurea, nego i zbog sigurnosnih standarda.

## Zaključak

WordPress 6.8 s bcryptom kao zadanim hashiranjem lozinki je jedna od onih promjena koje realno podižu sigurnosni baseline cijelog ekosustava. Za timove koji rade modernije WordPress projekte (Bedrock/Composer), to je ujedno i prilika da se riješe jednog dependencya bez gubitka funkcionalnosti: `wp-password-bcrypt` se može maknuti, a autentikacija nastavlja raditi bez migracija.

## Reference / Izvori

- [Sunsetting wp-password-bcrypt with WordPress 6.8](https://roots.io/sunsetting-wp-password-bcrypt-with-wordpress-6-8/)
- [WordPress 6.8 will use bcrypt for password hashing](https://make.wordpress.org/core/2025/02/17/wordpress-6-8-will-use-bcrypt-for-password-hashing/)
- [wp-password-bcrypt](https://github.com/roots/wp-password-bcrypt)
- [Bedrock](https://github.com/roots/bedrock)