Pimienta (Pepper)

Una pimienta (pepper) es un secreto largo a nivel de aplicación (típicamente 32 bytes o más) que se añade a cada contraseña antes de procesarla con una función hash o KDF, junto con la sal por usuario. A diferencia de la sal, la pimienta se almacena fuera de la base de credenciales —en un fichero de configuración, una variable de entorno o un HSM— para que un atacante que obtenga solo la tabla de hashes no pueda crackearlos offline con facilidad. Las implementaciones suelen calcular HMAC(pepper, password) antes de pasar el resultado a Argon2id, o introducir la pimienta a través de una KDF como parte del material secreto. Es una medida de defensa en profundidad: no sustituye a KDF fuertes, sales o limitación de tasa, pero encarece las brechas que solo exponen la base de datos.