(PHP 5 >= 5.5.0, PHP 7, PHP 8)
password_hash — Crée une clé de hachage pour un mot de passe
La fonction password_hash() crée un nouveau hachage en utilisant un algorithme de hachage fort et irréversible.
Les algorithmes suivants sont actuellement supportés :
PASSWORD_DEFAULT - Utilisation de l'algorithme bcrypt (par défaut depuis PHP 5.5.0). Notez que cette constante est concue pour changer dans le temps, au fur et à mesure que des algorithmes plus récents et plus forts sont ajoutés à PHP. Pour cette raison, la longueur du résultat issu de cet algorithme peut changer dans le temps, il est donc recommandé de stocker le résultat dans une colonne de la base de données qui peut contenir au moins 60 caractères (255 caractères peut être un très bon choix). PASSWORD_BCRYPT - Utilisation de l'algorithme CRYPT_BLOWFISH pour créer la clé de hachage. Ceci va créer une clé de hachage standard crypt() utilisant l'identifiant "$2y$". Le résultat sera toujours une chaîne de 60 caractères, ou false si une erreur survient. PASSWORD_ARGON2I - Utilise l'algorithme de hachage Argon2i pour créer le hachage. Cet algorithme est seulement disponible si PHP a été compilé avec le support d'Argon2 PASSWORD_ARGON2ID - Utilise l'algorithme de hachage Argon2id pour créer le hachage. Cet algorithme est seulement disponible si PHP a été compilé avec le support d'Argon2 Options supportées pour PASSWORD_BCRYPT:
salt - pour fournir manuellement un salt à utiliser lors du hachage du mot de passe. Notez que cette option empêchera la génération automatique.
Si omis, un salt aléatoire sera généré par la fonction password_hash() pour chaque mot de passe haché. C'est le mode de fonctionnement prévu.
L'option Salt est obsolète. Il est préférable d'utiliser simplement le sel qui est généré par défaut. À partir de PHP 8.0.0, un sel explicitement fournit est ignoré.
cost - détermine le coût algorithmique qui doit être utilisé. Des exemples de ces valeurs peuvent être trouvés sur la page de la documentation de la fonction crypt().
Si omis, la valeur par défaut 10 sera utilisée. C'est un bon compromis, mais vous pourriez vouloir l'augmenter suivant votre architecture.
Options supporté pour PASSWORD_ARGON2I et PASSWORD_ARGON2ID :
memory_cost (int) - Mémoire maximale (en kilo octets binaire) pouvant être utilisée pour calculer le hachage Argon2. Par défaut à PASSWORD_ARGON2_DEFAULT_MEMORY_COST.
time_cost (int) - Durée maximale de temps qu'il peut prendre pour calculer le hachage Argon2. Par défaut à PASSWORD_ARGON2_DEFAULT_TIME_COST.
threads (int) - Nombre de threads à utiliser pour calculer le hachage Argon2. Par défaut à PASSWORD_ARGON2_DEFAULT_THREADS.
Uniquement disponible quand PHP utilise libargon2, et non l'implementation libsodium.
passwordLe mot de passe utilisateur.
L'utilisation de la constante PASSWORD_BCRYPT pour l'algorithme fera que le paramètre password sera tronqué à une longueur maximale de 72 octets.
algoUne constantes de l'algorithme de mot de passe représentant l'algorithme à utiliser lors du hachage du mot de passe.
optionsUn tableau associatif contenant les options. Voir aussi les constantes de l'algorithme de mot de passe pour une documentation sur les options supportées pour chaque algorithme.
Si omis, un salt aléatoire sera créé et le cost par défaut sera utilisé.
Retourne le mot de passe haché.
L'algorithme utilisé, le coût et le salt sont contenus dans le hachage retourné. Aussi, toutes les informations utiles pour vérifier ce dernier y sont incluses. Ceci permet à la fonction password_verify() de vérifier le hachage sans avoir besoin de stocker séparément ces informations.
| Version | Description |
|---|---|
| 8.0.0 | password_hash() ne retourne plus false en cas d'échec, une ValueError sera levée si l'algorithme de hachage de mot de passe n'est pas valide, ou une Error si le hachage de mot de passe a échoué pour une raison inconnue. |
| 8.0.0 | algo est désormais nullable. |
| 7.4.0 | Le paramètre algo attend désormais une chaîne de caractères, mais continue d'accepter un entier afin de conserver une compatibilité antérieure. |
| 7.4.0 | L'extension sodium fournit un implémentation alternative pour les mots de passes Argon2. |
| 7.3.0 | Ajout de la prise en charge des mots de passe Argon2id à l'aide de PASSWORD_ARGON2ID. |
| 7.2.0 | Ajout de la prise en charge des mots de passe Argon2i à l'aide de PASSWORD_ARGON2I. |
Exemple #1 Exemple avec password_hash()
<?php
echo password_hash("rasmuslerdorf", PASSWORD_DEFAULT);
?>Résultat de l'exemple ci-dessus est similaire à :
$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a
Exemple #2 Exemple avec password_hash() en définissant manuellement l'option cost
<?php
$options = [
'cost' => 12,
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options);
?>Résultat de l'exemple ci-dessus est similaire à :
$2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3K
Exemple #3 Exemple avec password_hash() trouver un bon coût (cost)
<?php
$timeTarget = 0.350; // 350 millisecondes
$cost = 10;
do {
$cost++;
$start = microtime(true);
password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]);
$end = microtime(true);
} while (($end - $start) < $timeTarget);
echo "Valeur de 'cost' la plus appropriée : " . $cost;
?>Résultat de l'exemple ci-dessus est similaire à :
Valeur de 'cost' la plus appropriée : 12
Exemple #4 Exemple avec password_hash() et Argon2i
<?php
echo 'Argon2i hash: ' . password_hash('rasmuslerdorf', PASSWORD_ARGON2I);
?>Résultat de l'exemple ci-dessus est similaire à :
Argon2i hash: $argon2i$v=19$m=1024,t=2,p=2$YzJBSzV4TUhkMzc3d3laeg$zqU/1IN0/AogfP4cmSJI1vc8lpXRW9/S0sYY2i2jHT0
Il est vivement recommandé de ne pas générer vous-même votre propre salt pour cette fonction. La fonction va générer un salt sécurisé automatiquement pour vous si vous n'en spécifiez pas un !
Comme indiqué ci-dessus, fournir l'option Salt en PHP 7.0 générera un avertissement de désapprobation. La prise en charge d'un sel fourni manuellement a été supprimée en PHP 8.0.
Note:
Il est recommandé de tester cette fonction sur vos serveurs, et d'ajuster le paramètre "cost" afin que l'exécution de cette fonction prenne moins de 350 millisecondes. Le script dans l'exemple ci-dessus vous aide à choisir une bonne valeur suivant votre architecture matérielle.
Note: La mise à jour des algorithmes supportés par cette fonction (ou le changement à celui par défaut) doit suivre les règles suivantes :
- Chaque nouvel algorithme doit faire parti du cœur de PHP pendant au moins 1 version complète avant de prétendre à devenir l'algorithme par défaut. Aussi, si, par exemple, un nouvel algorithme est ajouté en version 7.5.5, il ne sera éligible comme algorithme par défaut qu'à partir de PHP 7.7 (sachant que 7.6 sera la première version complète). Mais si un algorithme différent a été ajouté en 7.6.0, il sera aussi éligible comme algorithme par défaut à partir de la version 7.7.0.
- L'algorithme par défaut ne peut être changé que lors d'une version complète (7.3.0, 8.0.0, etc...) et non pendant une version de révision. La seule exception à ce principe de base serait une urgence, par exemple, lors de la découverte d'un bogue critique au niveau de la sécurité dans l'algorithme par défaut.