1

Hola buen día soy nuevo en PHP. Tengo un formulario completo de registro, login, y recuperacion de contraseña. Estoy trabajando con XAMPP en localhost.

Todo funciona bien pero al recuperar la contraseña por correo, este llega en la misma forma que esta guardado en la base de datos encriptada.

Mi base de datos del registro son id, Nombre, Email, Password, User-id, etc.. el login se conforma de un login.html y en form se encuentra action="verif-login.php" con estos valores:

$hash = $row['Password'];

(password_verify($_POST['password'], $hash))

como puedo hacer para crear un cambio de contraseña que trabaje con hash mediante el envió de URL que llega correo. (lo del envío ya esta arreglado)

Espero me puedan dar una mano con esto que me tiene loco desde hace mas de una semana.

2
  • Hola @OrielC puedes decir que encriptación tienes? Pues algunos hash no se desencriptan. el 19 may. 2019 a las 17:11
  • Gracias por preguntar Amilcar Angeles. El tipo de encriptacion es bcrypt DEFAULT $passHash = password_hash($pass, PASSWORD_DEFAULT);
    – OrielC.
    el 19 may. 2019 a las 17:33

2 respuestas 2

2

Por razones de seguridad no debes desencriptar la contraseña. Incluso si usas MD5 que es muy fácil de desencriptar (Si usas MD5 tu sistema es altamente vulnerable).

Una posibilidad simple es enviar al usuario a un link de recuperar contraseña donde debe ingresar su email. En el Back-End creas una contraseña aleatoria para luego ser enviada a su email con instrucciones de que se trata de una contraseña temporal que él debe cambiar.

$clave = generaPassword();
$claveEncriptada =sha1($clave)); //Debes usar la misma forma de encriptación que usas.

Donde generaPassword() retorna una clave aleatoria por ejemplo algo asi:

function generaPass(){  
    $cadena = "ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
    $longitudCadena=strlen($cadena);    
    $pass = "";
    $longitudPass=6;    
    for($i=1 ; $i<=$longitudPass ; $i++){
        $pos=rand(0,$longitudCadena-1);     
        $pass .= substr($cadena,$pos,1);
    }
    return $pass;
}

Tomas la $claveEncriptada la guardas en la tabla de datos y envias la $clave en texto claro al correo del usuario.

  /* Envias la clave en texto claro al correo de usuario*/      
  enviarClave($mail, $clave)

  /* Registra la clave en la base de datos*/
  registrarClave($id_usuario, $claveEncriptada)

Nota: Solo como recomendación, puedes utilizar crypt para encriptar contraseñas.

2
  • Listo @EduardoMunizaga quedo bien hasta el momento, solo subi la longitud de la nueva pass. y logre que el código llegara a la db con hash y para el usuario le llegara la nueva contraseña sin hash a su correo. Y lo de la encriptar, funciona con password_hash? en este momento lo tengo asi $passHash = password_hash($newPass, PASSWORD_BCRYPT);
    – OrielC.
    el 19 may. 2019 a las 22:23
  • Debería funcionar igual ya que que en realidad envías la clave en texto claro al mail y guardas la encriptada , yo me equivoque en algo que editaré ahora el 19 may. 2019 a las 22:43
0

No puede descifrar una contraseña almacenada con bcrypt. Ese es el punto central de usar una función criptográfica de hash.

Todo lo que puede hacer es verificar si una contraseña determinada coincide (ver ejemplo de código ). Este método podría aplicarse repetidamente con muchos candidatos, lo que se denomina "ataque de fuerza bruta", y no es factible para contraseñas seguras.

2
  • Bueno pero se puede generar una nueva clave encriptada y remplazarla mediante un link temporal puedo cambiar el tipo de encriptacion
    – OrielC.
    el 19 may. 2019 a las 18:01
  • Claro, solo que esa no fue la pregunta y tampoco es seguro, lo mejor es enviar un link con el cambio de contraseña. el 26 sep. 2019 a las 20:52

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.