Fonctions de hachage de mot de passe
Manuel PHP

password_hash

(PHP 5 >= 5.5.0)

password_hash — Crée une table de hachage pour un mot de passe

Description

string password_hash ( string $password , integer $algo [, array $options ] )

La fonction password_hash() crée une nouvelle table de hachage en utilisant un algorithme de hachage fort en une pass.

Les algorithmes suivants sont actuellement supportés :

  • PASSWORD_DEFAULT - Utilisation de l'algorithme bcrypt (par défaut depuis PHP 5.5.0). Notez que cette constante est appelée à changer dans le temps, au fur et à mesure que de nouveaux et forts algorithmes sont ajoutés à PHP. Aussi, la longueur du résultat issu de cet identifiant peut changer dans le temps. Toutefois, il est recommandé de stocker le résultat dans une colonne de la base de données qui peut contenir au moins 60 caractères (255 caractères peut être un très bon choix).
  • PASSWORD_BCRYPT - Utilisation de l'algorithme CRYPT_BLOWFISH pour créer la table de hachage. Ceci va créer une table de hachage standard crypt() utilisant l'identifiant "$2y$". Le résultat sera toujours une chaîne de 60 caractères, ou FALSE si une erreur survient.

    Options supportées :

    • salt - pour fournir manuellement un salt à utiliser lors du hachage du mot de passe. Notez que cette option va écraser tout salt généré automatiquement.

      Si omis, un salt aléatoire sera généré par la fonction password_hash() pour chaque mot de passe haché. C'est le mode de fonctionnement prévu.

    • cost - détermine le coût algorithmique qui doit être utilisé. Des exemples de ces valeurs peuvent être trouvés sur la page de la documentation de la fonction crypt().

      Si omis, la valeur par défaut 10 sera utilisée. C'est un bon compromis, mais vous pourriez vouloir l'augmenter suivant votre architecture.

Liste de paramètres

password

Le mot de passe utilisateur.

algo

Une constantes de l'algorithme de mot de passe représentant l'algorithme à utiliser lors du hachage du mot de passe.

options

Un tableau associatif contenant les options. Voir aussi les constantes de l'algorithme de mot de passe pour une documentation sur les options supportées pour chaque algorithme.

Si omis, un salt aléatoire sera créé et le cost par défaut sera utilisé.

Valeurs de retour

Retourne le mot de passe haché, ou FALSE si une erreur survient.

Exemples

Exemple #1 Exemple avec password_hash()

<?php
/**
 * Nous voulons juste hacher notre mot de passe en utiliant l'algorithme par défaut.
 * Actuellement, il s'agit de BCRYPT, et produira un résultat sous forme de chaîne de
 * caractères d'une longueur de 60 caractères.
 *
 * Gardez à l'esprit que DEFAULT peut changer dans le temps, aussi, vous devriez vous
 * y préparer en autorisant un stockage supérieur à 60 caractères (255 peut être un bon choix)
 */

echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT)."\n";
?>
<?php
/**
 * Dans ce cas, nous souhaitons augmenter le "cost" par défaut pour BCRYPT à la valeur 12.
 * Notez que nous passons également à l'algorithme BCRYPT, qui produit toujours un résultat
 * de 60 caractères.
 */

$options = [
	'cost' => 12,
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
?>
<?php
/**
 * Notez que le salt est généré aléatoirement.
 * Ne jamais utiliser un salt statique, ou un qui ne serait pas généré aléatoirement.
 *
 * Pour la grande majorité des cas, laissez la fonction password_hash générer le salt
 * aléatoirement à votre place
 */
$options = [
	'cost' => 11,
	'salt' => mcrypt_create_iv(22, MCRYPT_DEV_URANDOM),
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
?>
<?php
/**
 * Ce code va tester votre serveur pour déterminer quel serait le meilleur "cost".
 * Vous souhaitez définir le "cost" le plus élevé possible sans trop ralentir votre serveur.
 * 10 est une bonne base, mais une valeur plus élevée est aussi un bon choix à partir
 * du moment où votre serveur est suffisament rapide !
 */
$timeTarget = 0.2; 

$cost = 9;
do {
	$cost++;
	$start = microtime(true);
	password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]);
	$end = microtime(true);
} while (($end - $start) < $timeTarget);

echo "Valeur de 'cost' la plus appropriée : " . $cost . "\n";
?>

L'exemple ci-dessus va afficher :

Valeur de 'cost' la plus appropriée : 11

Notes

Attention

Il est vivement recommandé de ne pas générer vous-même votre propre salt pour cette fonction. La fonction va générer un salt sécurisé automatiquement pour vous si vous n'en spécifiez pas un !

Note:

Il est recommandé de tester cette fonction sur vos serveurs, et d'ajuster le paramètre "cost" afin que l'exécution de cette fonction prenne approximativement entre 0.1 et 0.5 secondes. Le script dans l'exemple ci-dessus vous aide à choisir une bonne valeur suivant votre architecture matérielle.

Note: La mise à jour des algorithmes supportés par cette fonction (ou le changement à celui par défaut) doit suivre les règles suivantes :

  • Chaque nouvel algorithme doit faire parti du coeur de PHP pendant au moins 1 version complète avant de prétendre à devenir l'algorithme par défaut. Aussi, si, par exemple, un nouvel algorithme est ajouté en version 5.5.5, il ne sera éligible comme algorithme par défaut qu'à partir de PHP 5.7 (sachant que 5.6 sera la première version complète). Mais si un algorithme différent a été ajouté en 5.6.0, il sera aussi éligible comme algorithme par défaut à partir de la version 5.7.0.
  • L'algorithme par défaut ne peut être changé que lors d'une version complète (5.6.0, 6.0.0, etc...) et non pendant une version de révision. La seule exception à ce principe de base serait une urgence, par exemple, lors de la découverte d'un bogue critique au niveau de la sécurité dans l'algorithme par défaut.

Voir aussi

Fonctions de hachage de mot de passe
Manuel PHP
LoadingChargement en cours