(PHP 5 >= 5.5.0, PHP 7)
password_hash — Crée une clé de hachage pour un mot de passe
$password
, integer $algo
[, array $options
] )La fonction password_hash() crée un nouveau hachage en utilisant un algorithme de hachage fort et irréversible. La fonction password_hash() est compatible avec la fonction crypt(). Aussi, un mot de passe haché par la fonction crypt() peut être utilisé avec la fonction password_hash().
Les algorithmes suivants sont actuellement supportés :
PASSWORD_DEFAULT - Utilisation de l'algorithme bcrypt (par défaut depuis
PHP 5.5.0). Notez que cette constante est concue pour changer dans le temps, au fur et à mesure
que des algorithmes plus récents et plus forts sont ajoutés à PHP. Pour cette raison, la longueur
du résultat issu de cet algorithme peut changer dans le temps, il est donc recommandé de stocker
le résultat dans une colonne de la base de données qui peut contenir au moins 60 caractères
(255 caractères peut être un très bon choix).
PASSWORD_BCRYPT - Utilisation de l'algorithme CRYPT_BLOWFISH
pour créer la clé de hachage. Ceci va créer une clé de hachage standard crypt()
utilisant l'identifiant "$2y$". Le résultat sera toujours une chaîne de 60 caractères, ou FALSE si une erreur survient.
Options supportées :
salt - pour fournir manuellement un salt à utiliser lors du hachage du mot de passe. Notez que cette option empêchera la génération automatique.
Si omis, un salt aléatoire sera généré par la fonction password_hash() pour chaque mot de passe haché. C'est le mode de fonctionnement prévu.
cost - détermine le coût algorithmique qui doit être utilisé. Des exemples de ces valeurs peuvent être trouvés sur la page de la documentation de la fonction crypt().
Si omis, la valeur par défaut 10 sera utilisée. C'est un bon compromis, mais vous pourriez vouloir l'augmenter suivant votre architecture.
passwordLe mot de passe utilisateur.
L'utilisation de la constante PASSWORD_BCRYPT
pour le paramètre algo fera que le paramètre
password sera tronqué à une longueur maximale de
72 caractères.
algoUne constantes de l'algorithme de mot de passe représentant l'algorithme à utiliser lors du hachage du mot de passe.
optionsUn tableau associatif contenant les options. Voir aussi les constantes de l'algorithme de mot de passe pour une documentation sur les options supportées pour chaque algorithme.
Si omis, un salt aléatoire sera créé et le cost par défaut sera utilisé.
Retourne le mot de passe haché, ou FALSE si une erreur survient.
L'algorithme utilisé, le coût et le salt sont contenus dans le hachage retourné. Aussi, toutes les informations utiles pour vérifier ce dernier y sont incluses. Ceci permet à la fonction password_verify() de vérifier le hachage sans avoir besoin de stocker séparément ces informations.
Exemple #1 Exemple avec password_hash()
<?php
/**
* Nous voulons juste hacher notre mot de passe en utiliant l'algorithme par défaut.
* Actuellement, il s'agit de BCRYPT, ce qui produira un résultat sous forme de chaîne de
* caractères d'une longueur de 60 caractères.
*
* Gardez à l'esprit que DEFAULT peut changer dans le temps, aussi, vous devriez vous
* y préparer en autorisant un stockage supérieur à 60 caractères (255 peut être un bon choix)
*/
echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT)."\n";
?>
L'exemple ci-dessus va afficher quelque chose de similaire à :
$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a
Exemple #2 Exemple avec password_hash() en définissant manuellement l'option cost
<?php
/**
* Dans ce cas, nous souhaitons augmenter le "cost" par défaut pour BCRYPT à la valeur 12.
* Notez que nous passons également à l'algorithme BCRYPT, qui produit toujours un résultat
* de 60 caractères.
*/
$options = [
'cost' => 12,
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
?>
L'exemple ci-dessus va afficher quelque chose de similaire à :
$2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3K
Exemple #3 Exemple avec password_hash() et une définition du salt manuelle
<?php
/**
* Notez que le salt est généré aléatoirement.
* Ne jamais utiliser un salt statique, ou un qui ne serait pas généré aléatoirement.
*
* Pour la grande majorité des cas, laissez la fonction password_hash générer le salt
* aléatoirement à votre place
*/
$options = [
'cost' => 11,
'salt' => mcrypt_create_iv(22, MCRYPT_DEV_URANDOM),
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
?>
L'exemple ci-dessus va afficher quelque chose de similaire à :
$2y$11$q5MkhSBtlsJcNEVsYh64a.aCluzHnGog7TQAKVmQwO9C8xb.t89F.
Exemple #4 Exemple avec password_hash() et un bon "cost"
<?php
/**
* Ce code va tester votre serveur pour déterminer quel serait le meilleur "cost".
* Vous souhaitez définir le "cost" le plus élevé possible sans trop ralentir votre serveur.
* 8-10 est une bonne base, mais une valeur plus élevée est aussi un bon choix à partir
* du moment où votre serveur est suffisament rapide ! Le code suivant espère un temps
* ≤ à 50 millisecondes, ce qui est une bonne base pour les systèmes gérants les identifications
* intéractivement.
*/
$timeTarget = 0.05; // 50 millisecondes
$cost = 8;
do {
$cost++;
$start = microtime(true);
password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]);
$end = microtime(true);
} while (($end - $start) < $timeTarget);
echo "Valeur de 'cost' la plus appropriée : " . $cost . "\n";
?>
L'exemple ci-dessus va afficher quelque chose de similaire à :
Valeur de 'cost' la plus appropriée : 10
Il est vivement recommandé de ne pas générer vous-même votre propre salt pour cette fonction. La fonction va générer un salt sécurisé automatiquement pour vous si vous n'en spécifiez pas un !
Note:
Il est recommandé de tester cette fonction sur vos serveurs, et d'ajuster le paramètre "cost" afin que l'exécution de cette fonction prenne moins de 100 millisecondes. Le script dans l'exemple ci-dessus vous aide à choisir une bonne valeur suivant votre architecture matérielle.
Note: La mise à jour des algorithmes supportés par cette fonction (ou le changement à celui par défaut) doit suivre les règles suivantes :
- Chaque nouvel algorithme doit faire parti du coeur de PHP pendant au moins 1 version complète avant de prétendre à devenir l'algorithme par défaut. Aussi, si, par exemple, un nouvel algorithme est ajouté en version 5.5.5, il ne sera éligible comme algorithme par défaut qu'à partir de PHP 5.7 (sachant que 5.6 sera la première version complète). Mais si un algorithme différent a été ajouté en 5.6.0, il sera aussi éligible comme algorithme par défaut à partir de la version 5.7.0.
- L'algorithme par défaut ne peut être changé que lors d'une version complète (5.6.0, 6.0.0, etc...) et non pendant une version de révision. La seule exception à ce principe de base serait une urgence, par exemple, lors de la découverte d'un bogue critique au niveau de la sécurité dans l'algorithme par défaut.