Rechercher une fonction PHP

password_hash

Table des matières

(PHP 5 >= 5.5.0, PHP 7)

password_hash — Crée une clé de hachage pour un mot de passe

Description

string password_hash ( string $password , int $algo [, array $options ] )

La fonction password_hash() crée un nouveau hachage en utilisant un algorithme de hachage fort et irréversible. La fonction password_hash() est compatible avec la fonction crypt(). Aussi, un mot de passe haché par la fonction crypt() peut être utilisé avec la fonction password_hash().

Les algorithmes suivants sont actuellement supportés :

  • PASSWORD_DEFAULT - Utilisation de l'algorithme bcrypt (par défaut depuis PHP 5.5.0). Notez que cette constante est concue pour changer dans le temps, au fur et à mesure que des algorithmes plus récents et plus forts sont ajoutés à PHP. Pour cette raison, la longueur du résultat issu de cet algorithme peut changer dans le temps, il est donc recommandé de stocker le résultat dans une colonne de la base de données qui peut contenir au moins 60 caractères (255 caractères peut être un très bon choix).
  • PASSWORD_BCRYPT - Utilisation de l'algorithme CRYPT_BLOWFISH pour créer la clé de hachage. Ceci va créer une clé de hachage standard crypt() utilisant l'identifiant "$2y$". Le résultat sera toujours une chaîne de 60 caractères, ou FALSE si une erreur survient.
  • PASSWORD_ARGON2I - Utilise l'algorithme de hachage Argon2i pour créer le hachage. Cet algorithme est seulement disponible si PHP a été compilé avec le support d'Argon2
  • PASSWORD_ARGON2ID - Utilise l'algorithme de hachage Argon2id pour créer le hachage. Cet algorithme est seulement disponible si PHP a été compilé avec le support d'Argon2

Options supportées pour PASSWORD_BCRYPT:

  • salt - pour fournir manuellement un salt à utiliser lors du hachage du mot de passe. Notez que cette option empêchera la génération automatique.

    Si omis, un salt aléatoire sera généré par la fonction password_hash() pour chaque mot de passe haché. C'est le mode de fonctionnement prévu.

    Avertissement

    L'option Salt a été désapprouvée à partir de PHP 7.0.0. Il est maintenant préférable d'utiliser simplement le sel qui est généré par défaut.

  • cost - détermine le coût algorithmique qui doit être utilisé. Des exemples de ces valeurs peuvent être trouvés sur la page de la documentation de la fonction crypt().

    Si omis, la valeur par défaut 10 sera utilisée. C'est un bon compromis, mais vous pourriez vouloir l'augmenter suivant votre architecture.

Options supporté pour PASSWORD_ARGON2I et PASSWORD_ARGON2ID :

  • memory_cost (integer) - Mémoire maximale (en kilo octets binaire) pouvant être utilisée pour calculer le hachage Argon2. Par défaut à PASSWORD_ARGON2_DEFAULT_MEMORY_COST.

  • time_cost (integer) - Durée maximale de temps qu'il peut prendre pour calculer le hachage Argon2. Par défaut à PASSWORD_ARGON2_DEFAULT_TIME_COST.

  • threads (integer) - Nombre de threads à utiliser pour calculer le hachage Argon2. Par défaut à PASSWORD_ARGON2_DEFAULT_THREADS.

Retour à la première page de Manuel PHP  Table des matières Haut

Liste de paramètres

password

Le mot de passe utilisateur.

Attention

L'utilisation de la constante PASSWORD_BCRYPT pour l'algorithme fera que le paramètre password sera tronqué à une longueur maximale de 72 caractères.

algo

Une constantes de l'algorithme de mot de passe représentant l'algorithme à utiliser lors du hachage du mot de passe.

options

Un tableau associatif contenant les options. Voir aussi les constantes de l'algorithme de mot de passe pour une documentation sur les options supportées pour chaque algorithme.

Si omis, un salt aléatoire sera créé et le cost par défaut sera utilisé.

Retour à la première page de Manuel PHP  Table des matières Haut

Valeurs de retour

Retourne le mot de passe haché, ou FALSE si une erreur survient.

L'algorithme utilisé, le coût et le salt sont contenus dans le hachage retourné. Aussi, toutes les informations utiles pour vérifier ce dernier y sont incluses. Ceci permet à la fonction password_verify() de vérifier le hachage sans avoir besoin de stocker séparément ces informations.

Retour à la première page de Manuel PHP  Table des matières Haut

Exemples

Exemple #1 Exemple avec password_hash()

<?php
/**
 * Nous voulons juste hacher notre mot de passe en utiliant l'algorithme par défaut.
 * Actuellement, il s'agit de BCRYPT, ce qui produira un résultat sous forme de chaîne de
 * caractères d'une longueur de 60 caractères.
 *
 * Gardez à l'esprit que DEFAULT peut changer dans le temps, aussi, vous devriez vous
 * y préparer en autorisant un stockage supérieur à 60 caractères (255 peut être un bon choix)
 */

echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT);
?>

L'exemple ci-dessus va afficher quelque chose de similaire à :

$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a

Exemple #2 Exemple avec password_hash() en définissant manuellement l'option cost

<?php
/**
 * Dans ce cas, nous souhaitons augmenter le "cost" par défaut pour BCRYPT à la valeur 12.
 * Notez que nous passons également à l'algorithme BCRYPT, qui produit toujours un résultat
 * de 60 caractères.
 */

$options = [
    'cost' => 12,
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options);
?>

L'exemple ci-dessus va afficher quelque chose de similaire à :

$2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3K

Exemple #3 Exemple avec password_hash() trouver un bon coût (cost)

<?php
/**
 * Ce code va tester votre serveur pour déterminer quel serait le meilleur "cost".
 * Vous souhaitez définir le "cost" le plus élevé possible sans trop ralentir votre serveur.
 * 8-10 est une bonne base, mais une valeur plus élevée est aussi un bon choix à partir
 * du moment où votre serveur est suffisament rapide ! Le code suivant espère un temps
 * ≤ à 50 millisecondes, ce qui est une bonne base pour les systèmes gérants les identifications
 * intéractivement.
 */
$timeTarget = 0.05; // 50 millisecondes

$cost = 8;
do {
    $cost++;
    $start = microtime(true);
    password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]);
    $end = microtime(true);
} while (($end - $start) < $timeTarget);

echo "Valeur de 'cost' la plus appropriée : " . $cost;
?>

L'exemple ci-dessus va afficher quelque chose de similaire à :

Valeur de 'cost' la plus appropriée : 10

Exemple #4 Exemple avec password_hash() et Argon2i

<?php
echo 'Argon2i hash: ' . password_hash('rasmuslerdorf', PASSWORD_ARGON2I);
?>

L'exemple ci-dessus va afficher quelque chose de similaire à :

Argon2i hash: $argon2i$v=19$m=1024,t=2,p=2$YzJBSzV4TUhkMzc3d3laeg$zqU/1IN0/AogfP4cmSJI1vc8lpXRW9/S0sYY2i2jHT0

Retour à la première page de Manuel PHP  Table des matières Haut

Notes

Attention

Il est vivement recommandé de ne pas générer vous-même votre propre salt pour cette fonction. La fonction va générer un salt sécurisé automatiquement pour vous si vous n'en spécifiez pas un !

Comme indiqué ci-dessus, fournir l'option Salt en PHP 7.0 générera un avertissement de désapprobation. La prise en charge d'un sel fourni manuellement peut être enlevée dans une future version de PHP.

Note:

Il est recommandé de tester cette fonction sur vos serveurs, et d'ajuster le paramètre "cost" afin que l'exécution de cette fonction prenne moins de 100 millisecondes. Le script dans l'exemple ci-dessus vous aide à choisir une bonne valeur suivant votre architecture matérielle.

Note: La mise à jour des algorithmes supportés par cette fonction (ou le changement à celui par défaut) doit suivre les règles suivantes :

  • Chaque nouvel algorithme doit faire parti du coeur de PHP pendant au moins 1 version complète avant de prétendre à devenir l'algorithme par défaut. Aussi, si, par exemple, un nouvel algorithme est ajouté en version 7.5.5, il ne sera éligible comme algorithme par défaut qu'à partir de PHP 7.7 (sachant que 7.6 sera la première version complète). Mais si un algorithme différent a été ajouté en 7.6.0, il sera aussi éligible comme algorithme par défaut à partir de la version 7.7.0.
  • L'algorithme par défaut ne peut être changé que lors d'une version complète (7.3.0, 8.0.0, etc...) et non pendant une version de révision. La seule exception à ce principe de base serait une urgence, par exemple, lors de la découverte d'un bogue critique au niveau de la sécurité dans l'algorithme par défaut.

Retour à la première page de Manuel PHP  Table des matières Haut

Historique

Version Description
7.3.0 Ajout de la prise en charge des mots de passe Argon2id à l'aide de PASSWORD_ARGON2ID.
7.2.0 Ajout de la prise en charge des mots de passe Argon2i à l'aide de PASSWORD_ARGON2I.

Retour à la première page de Manuel PHP  Table des matières Haut

Voir aussi

Rechercher une fonction PHP

Version en cache

21/11/2024 19:44:15 Cette version de la page est en cache (à la date du 21/11/2024 19:44:15) afin d'accélérer le traitement. Vous pouvez activer le mode utilisateur dans le menu en haut pour afficher la dernère version de la page.

Document créé le 30/01/2003, dernière modification le 26/10/2018
Source du document imprimé : https://www.gaudry.be/php-rf-password-hash.html

L'infobrol est un site personnel dont le contenu n'engage que moi. Le texte est mis à disposition sous licence CreativeCommons(BY-NC-SA). Plus d'info sur les conditions d'utilisation et sur l'auteur.

Références

  1. Consulter le document html Langue du document :fr Manuel PHP : http://php.net

Ces références et liens indiquent des documents consultés lors de la rédaction de cette page, ou qui peuvent apporter un complément d'information, mais les auteurs de ces sources ne peuvent être tenus responsables du contenu de cette page.
L'auteur de ce site est seul responsable de la manière dont sont présentés ici les différents concepts, et des libertés qui sont prises avec les ouvrages de référence. N'oubliez pas que vous devez croiser les informations de sources multiples afin de diminuer les risques d'erreurs.

Table des matières Haut