Vu le nombre important de demande au sujet de la sécurité de mots de passe transmis, je vais faire un truc général.
Bon nombre d'entre vous (les débutants surtout) pense qu'un cryptage md5 du mot de passe avant l'envoi ou le cryptage des mots de passe de la bdd rendent les comptes inviolables.
1°) Pour les espaces admin: 1 unique solution: mot de passe dans HT_ACCESS
2°)Pour les zones membres, 2 solutions intéressantes sans SSL pour garantir à vos visiteur une bonne sécurié de leur compte:
- 1er choix: -> formulaire login+ mot de passe avec envoie d'une clé aléatoire que vous gardez dans une variable de session et que vous changez à chaque page
-> création d'une clé avec le login en utilisant la clé temporaire transmise via javascript dans la page
-> cryptage du mot de passe avec le comme clé le nouveau login
-> cryptage du mot de passe obtenu en md5
-> cryptage du mot de passe en md5 (pour pas qu'on puisse remonter jusqu'à la clé...
-> envoi du formulaire
De cette façon personne avoir accès à un espace membre en envoyant le mot de passe déja crypté en md5... (les sniffers savent bien le faire ca lol)
- 2ème choix (beaucoup plus lourd coté serveur)
création d'un nouveau login/mot (trouvé dans la bdd membres) de passe temporaire dans HT_ACCESS lorsque la personne envoie son login pour se connecter.Une fois l'user connecté, destruction de ce mot de passe et ce login.
(pour les plus novices, cette méthode se fait via lecture et ecriture du fichier nommé au dessus).
Il y a surement d'autres méthodes plus performantes ou moibns lourdes, mais sans SSL, c'est une solution qui marche nickel (enfin peut être que sans m'en rendre compte je suis piraté 5000 fois par jour ptdrrrrrrrr)
Allez, bonn prog à tous et toutes