PHP password_hash() y password_verify(): guardar contraseñas

Guarda las contraseñas con password_hash($password, PASSWORD_DEFAULT) y comprueba un inicio de sesión con password_verify($password, $hash), que devuelve true o false. Nunca guardes la propia contraseña, y nunca uses md5() ni sha1() para ello.

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

Ejecútalo dos veces: el hash es distinto cada vez, y las dos versiones se verifican. Lo mismo vale para todos los hashes de esta página, así que tu salida no coincidirá con la de nadie más.

Iniciar sesión con password_verify

Un inicio de sesión comprueba la contraseña enviada contra el hash guardado cuando se creó la cuenta. Este bloque "registra" a un usuario y luego muestra un formulario de inicio de sesión; prueba con la contraseña correcta (hunter2) y luego con una incorrecta.

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

El mensaje de error es el mismo para un email desconocido y para una contraseña incorrecta. Decir cuál de los dos falló le indica a un atacante qué emails tienen cuenta. Tras un inicio de sesión correcto, un sitio real guarda el id del usuario en la sesión, como se muestra en la página de sesiones.

Qué hay dentro del hash

Un hash bcrypt es una sola cadena que contiene todo lo que necesita password_verify(): el algoritmo, el coste y la sal, seguidos del propio hash. password_get_info() lee de vuelta las primeras partes.

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

Como la sal está guardada en el hash, solo necesitas una columna en la base de datos, y dos usuarios con la misma contraseña siguen teniendo hashes distintos. Haz esa columna VARCHAR(255): bcrypt ocupa 60 caracteres, pero PASSWORD_DEFAULT puede cambiar a un algoritmo con una salida más larga.

Elegir el coste

El coste es lo lento que es cada hash a propósito, y cada paso hacia arriba duplica el trabajo. PHP 8.3 usa coste 10 para bcrypt (PHP 8.4 subió el valor por defecto a 12). Un inicio de sesión debería tardar aproximadamente de 100 a 300 ms en el hash; mídelo en tu propio servidor:

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

Los números dependen de la máquina, pero cada línea debería ser más o menos el doble de la anterior. Más alto es más seguro frente al crackeo y más lento en cada inicio de sesión, así que elige el coste más alto que se pueda permitir tu página de inicio de sesión.

Actualizar hashes antiguos con password_needs_rehash

Cuando subes el coste o PHP cambia PASSWORD_DEFAULT, los hashes existentes siguen funcionando, y password_needs_rehash() te dice cuáles están desactualizados. El único momento en que tienes la contraseña en texto plano es el inicio de sesión, así que es ahí donde actualizas:

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

El prefijo $2y$10$ pasa a ser $2y$12$, y en el siguiente inicio de sesión password_needs_rehash() devuelve false.

Nunca uses md5 ni sha1 para contraseñas

md5() y sha1() son hashes generales rápidos y sin sal. Rápido es justo lo contrario de lo que necesitan las contraseñas: un atacante con una tabla filtrada puede probar miles de millones de intentos por segundo en una GPU, y el hash sin sal de una contraseña común ya está en tablas de búsqueda públicas. Compara la velocidad:

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

En el tiempo en que password_hash() hace un hash, md5 hace cientos de miles, así que cada intento de quien crackea es esa misma cantidad de veces más barato. Busca 5f4dcc3b5aa765d61d8327deb882cf99 y encontrarás al instante la palabra "password".

Si heredas una tabla de hashes md5, no puedes convertirlos directamente. Envuélvelos: guarda password_hash($oldMd5) y verifica con password_verify(md5($input), $stored), y luego sustituye cada uno por un hash normal la próxima vez que ese usuario inicie sesión.

Argon2id y el límite de 72 bytes

PASSWORD_ARGON2ID usa más memoria por hash, lo que encarece mucho el crackeo con GPU. Está disponible cuando PHP se compila con libargon2 (la mayoría de los paquetes de Linux lo hacen); compruébalo con defined('PASSWORD_ARGON2ID').

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

La última línea imprime bool(true): dos contraseñas distintas coinciden porque bcrypt ignora todo lo que hay después del byte 72. Las contraseñas reales rara vez llegan a eso, pero las frases de contraseña en japonés u otras escrituras multibyte alcanzan los 72 bytes con unos 24 caracteres. Si permites contraseñas muy largas, usa Argon2id, que no tiene ese límite. password_verify() funciona con los dos algoritmos, así que puedes cambiar con password_needs_rehash() como arriba.