Poivre (pepper)

Un poivre (pepper) est un long secret partagé à l'échelle de l'application (typiquement 32 octets ou plus), ajouté à chaque mot de passe avant son passage dans une fonction de hachage ou une KDF, en complément du sel par utilisateur. Contrairement au sel, le poivre est stocké en dehors de la base de credentials — dans un fichier de configuration, une variable d'environnement ou un HSM — afin qu'un attaquant n'ayant que la table de hashs ne puisse pas facilement cracker hors-ligne. Les implémentations calculent souvent HMAC(pepper, password) avant de transmettre le résultat à Argon2id, ou injectent le poivre via une KDF dans le secret de dérivation. Le poivre est une défense en profondeur : il ne remplace pas les KDF robustes, les sels ou la limitation de débit, mais augmente le coût d'une compromission limitée à la base.