Desde mi punto de vista ante todo debes proteger su Base de datos ante posibles ataques de inyección, piensa, para que sirve crear un sistema de login avanzado si después uno podría modificar fácilmente su Base de datos. Para ello podrías usar mysqli::prepare o PDO.
Si quieres saber más como evitar la inyección SQL, te dejo esta pregunta con grandes respuestas en SOes.
En mi ejemplo utilizo mysqli::prepare
, el principal y más esencial beneficio de las declaraciones preparadas es la eliminación de todos los peligros del formato manual.
Otro factor importante es el almacenaje de contraseñas seguras. En mi ejemplo utilizo password_verify, para comprobar si la contraseña conciden, importante, cuando registras un nuevo usuario utiliza la función password_hash() para crear un hash de contraseña seguro (No utilice sha1
o md5
, ya que son vulnerables).
Mas información sobre Almacenamiento de contraseñas PHP y MYSQL en SOes.
Ejemplo crear un hash de contraseña:
$contrasena = password_hash($_POST['contrasena'], PASSWORD_BCRYPT);
BCRYPT, siempre tendrá 60 caracteres.
Ejemplo completo:
Voy a poner un posible ejemplo a mi gusto respetando tu pregunta, ya que realmente estos factores son algo personal.
Desde mi punto de vista al primer intento mostrar el código captcha, podría ser incomodo, ya que un usuario se equivoca fácilmente el primer intento, en su caso lo he puesto en el 3 intento, aunque este valor se podría modificar como uno desea en realidad.
Compuse el sistema basándome en los siguientes puntos (probado en localhost):
- 3 intento, mostramos el código captcha.
- 5 intento desactivamos el usuario mediante 15min.
- En el intento 10, inactivamos el usuario hasta contactar con el administrador.
- El en intento 11, sumando el total de fallos mediante su IP, bloqueamos el login durante 1 día, he puesto 11, así respeta el sistema de intentos fallidos independiente, y bloquea al usuario hasta contactar con administración.
- Seguridad en la Base de datos mediante sentencias preparadas.
- password_hash, un hash de contraseña usando un algoritmo de hash fuerte de único sentido.
Lo del doble logueo, personalmente no lo veo cómodo para los usuarios, siempre hay que mirar la comodidad del usuario y en ocasiones depende la aplicación es más cómodo trabajar con dos sesiones abiertas en diferentes ordenadores, piensa que si uno realmente quiere podría también fácilmente, grabar la pantalla de su aplicación y dárselo a terceros XD.
Otro punto hay que tener en cuenta si se utiliza el IP
para intentos fallidos, y existen más de un usuario, también quedarían desactivado mediante el mismo IP
bloqueado, por este modo he utilizado el id_user
para evitar problemas, así sabe diferenciar a cada usuario y bloquea al usuario en caso de estarlo, aunque utiliza otro IP
.
Base de datos
CREATE TABLE `fail_attempt` (
`id_fail_Attempt` int(11) NOT NULL,
`id_user` int(11) NOT NULL,
`attempt` smallint(2) NOT NULL,
`ip` varchar(100) COLLATE utf8_spanish_ci NOT NULL,
`datetime` datetime NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_spanish_ci;
CREATE TABLE `users` (
`id` int(11) NOT NULL,
`username` varchar(60) NOT NULL unique,
`email` varchar(200) NOT NULL unique,
`password` varchar(60) NOT NULL,
`lastname` varchar(255) NOT NULL,
`active` smallint(1) NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_spanish_ci;
INSERT INTO `users` (`id`, `username`, `email`, `password`, `lastname`, `active`) VALUES
(1, 'Daniel', '[email protected]', '$2y$10$IptiWEQlWuIZHPvl7wVXfele2nKi1ics9EuTzeHv29MT7KUZfYTGa', 'Bulten', 1);
Nota: Para hacer pruebas la contraseña con hash
$2y$10$IptiWEQlWuIZHPvl7wVXfele2nKi1ics9EuTzeHv29MT7KUZfYTGa
equivale a123
y deberás modificar el correo electrónico al suyo si uno quiere.
index.php
<?php
//Arrancamos sesión.
session_start();
//Comprobamos si esta iniciado sesión, caso contrario redirigimos al login.
if (!isset($_SESSION['usuario'])) { header('Location:login.php'); }
?>
<!DOCTYPE html>
<html lang="es-ES">
<body>
Bienvenido <?php echo $_SESSION['usuario']; ?>
</body>
</html>
conexion.php (Estilo orientado a objetos).
<?php
//Configuración.
$ServerName = "Localhost";
$Username = "root";
$PassWord = "root";
$DataBase = "login_stackoverflow";
//Creamos conexión.
$con = new mysqli($ServerName, $Username, $PassWord, $DataBase);
//Comprobamos conexión.
if ($con->connect_error) {
exit("La conexión fallo: " . $con->connect_error);
}
//Caracteres UTF-8 para MySQL.
if (!$con->set_charset("utf8")) {
printf("Error cargando el conjunto de caracteres utf8: %s\n", $con->error);
exit();
}
?>
login.php
En mi ejemplo he usado en vede usuario el correo electrónico para iniciar sesión, ya que es unique como un usuario, aunque este valor es fácilmente modificable por usuario si uno desea.
<?php
//Arrancamos sesión.
session_start();
//Caso estar iniciado sesión, redirigimos automatico al index.
if (isset($_SESSION['usuario'])) { header('Location:index.php'); }
//Conexión -> SQL
require_once'conect.php';
//Calculamos intentos fallidos por IP.
$stmtIP = $con->prepare("SELECT SUM(attempt) as total,datetime FROM fail_attempt WHERE ip=? ORDER BY datetime DESC");
//Ligar parametros marcadores.
$stmtIP->bind_param("s",$addres);
//Obtenemos IP.
$addres = $_SERVER['REMOTE_ADDR'];//Ip
//Ejecutar sentencia.
$stmtIP->execute();
//Ligar variables de resultados BD.
$stmtIP->bind_result($totalattempt,$getdatetime);
//Obtenemos valores.
$stmtIP->fetch();
//Cerrar sentencia.
$stmtIP->close();
//Si supera más de 10 intentos, el IP quedara inactivo durante 1 dia.
if ($totalattempt>=11) {
if (!isset($_SESSION['inactivo1day'])) {
$_SESSION['inactivo1day'] = true;
}
//Reseteo intentos a 0 pasado 1 dia.
if(strtotime($getdatetime) <= strtotime("-1 day")) { // -15 minutes podria ser -30minutes, -1hours, -day etc...
//Sentencia.
$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=? WHERE ip=?");
//Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
$stmtUp->bind_param("iss", $int,$addres,$addres);
//valores parametros marcadores.
$int = 0;//Inilizamos en 6 intentos.
//Ejecutar sentencia.
$stmtUp->execute();
//Cerrar sentencia.
$stmtUp->close();
//Eliminamos session inactivo
unset($_SESSION['inactivo1day']);
//Redirigimos a login
echo '<script>window.location="login.php"</script>';
} else {
//Mensaje cuenta desactivado durante 15min.
$msg = "La IP ha quedado desactivado desde las {$getdatetime}, durante 1 dia., intentelo más tarde.";
}
}
?>
<!DOCTYPE html>
<html lang="es-ES">
<head>
<!-- Libreria jQuery. -->
<script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>
<meta charset="utf-8" /><!-- Character encoding. -->
<script>
$(document).ready(function() {
//Formulario login.
$(document).on('submit', '#login-form', function() {
//Data formulario
var data = $(this).serialize();
$.ajax({
type : 'POST',
url : 'login_control.php',
data : data,
success : function(data) {
$("#result-login").html(data);
}
});
return false;
});
//Formulario captcha.
$(document).on('submit', '#captcha-form', function() {
//Data formulario
var data = $(this).serialize();
$.ajax({
type : 'POST',
url : 'capt_control.php',
data : data,
success : function(data) {
$("#result-captcha").html(data);
}
});
return false;
});
});
</script>
</head>
<body>
<?php
if (!isset($_SESSION['inactivo1day'])) {
//En caso estar activado la sesión del captcha, se ativa el formulario captcha.
if (isset($_SESSION['captchaValidar']) && $_SESSION['captchaValidar']==true) {
?>
<h2>Verifica los caracteres del 'Captcha' para continuar</h2>
<?php //echo $message; ?>
<form method="POST" id="captcha-form">
<img src='captcha_code.php' />
<input name='captcha_code' type='text' placeholder='Codigo captcha' />
<button type="submit">validar</button>
</form>
<div id="result-captcha"><!-- Respuesta AJAX --></div>
<?php
} else { //En caso contrario mostramos el login.
?>
<h2>Por favor, introduce tu correo electrónico y contraseña para comenzar.</h2>
<form method="POST" id="login-form">
<input type="text" name="correo" placeholder="Correo electrónico *" />
<input type="password" name="password" placeholder="Contraseña *" />
<button type="submit">Inicia sesión</button>
</form>
<br />
<div id="result-login"><!-- Respuesta AJAX --></div>
<?php
}
} else {
echo $msg;
}
?>
</body>
</html>
login_control.php
<?php
//Arrancamos sesión.
session_start();
//Zona region.
date_default_timezone_set("Europe/Madrid");
//Reseteo de variables.
$msg = $correo = $password = NULL;
//Definido formulario y no es NULL.
if (isset($_POST)) {
//Inputs vacios.
if (empty($_POST['correo'])) {
$msg = 'El correo electrónico es obligatorio.';
} elseif (!filter_var($_POST['correo'], FILTER_VALIDATE_EMAIL)) {
$msg = 'El correo electrónico no es valido.';
} elseif (empty($_POST['password'])) {
$msg = 'La contraseña es obligatorio.';
} else {
//Obtenemos datos inputs.
$correo = $_POST['correo'] ?: '';
$password = $_POST['password'] ?: '';
}
//Datos son verdadero.
if ($correo && $password) {
//Conexión -> SQL
require_once'conect.php';
//Comprobamos si existe usuario en la BD.
//Sentencia.
$stmt = $con->prepare("SELECT id,username,password FROM users WHERE email=? LIMIT 1");
//Ligar parametros marcadores, es decir, el valor ?, es decir email='$correo' y las "s", estamos diciendo que $correo es un string (cadena), si existen más, es importante su orden.
$stmt->bind_param("s",$correo);
//Ejecutar sentencia.
$stmt->execute();
//Devuelve el número de filas de un conjunto de resultados de una sentencia.
$stmt->store_result();
//Comprobamos si existen registros
if ($stmt->num_rows===1) {
//Ligamos los datos desde la BD.
$stmt->bind_result($id_user,$usernameBD,$passwordHASH);
if ($stmt->fetch()) {
//Obtenemos IP.
$addres = $_SERVER['REMOTE_ADDR'];//Ip
//Comprobamos si el usuario esta desactivado o tiene algun intento fallido, utilizamos el 'ID' del usuario y no su 'IP'.
//Si se utiliza el 'IP', podria conectarse desde otro lugar aun que estaria desactivado el usuario, y en el caso que existen más de un usuario, quedaran tambien inactivo.
$stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
//Ligar parametros marcadores.
$stmtA->bind_param("i",$id_user);
//Ejecutar sentencia.
$stmtA->execute();
//Devuelve el número de filas de un conjunto de resultados de una sentencia.
$stmtA->store_result();
//Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra 0 registros es insert y si es 1 va ser un update.
$check_attempt = $stmtA->num_rows;
//Ligar variables de resultados BD.
$stmtA->bind_result($attempts,$getdatetime);
//Obtenemos valores.
$stmtA->fetch();
//Cerrar sentencia.
$stmtA->close();
//Mientras los intentos no supera a 11, continuamos con el login.
if ($attempts < 11) {
//Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
if ($attempts==5) {
//Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
if(strtotime($getdatetime) <= strtotime("-15 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -1day etc...
//Sentencia.
$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=? WHERE id_user=? LIMIT 1");
//Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
$stmtUp->bind_param("isi", $int,$addres,$id_user);
//valores parametros marcadores.
$int = 6;//Inilizamos en 6 intentos.
//Ejecutar sentencia.
$stmtUp->execute();
//Cerrar sentencia.
$stmtUp->close();
//Eliminamos session inactivo
unset($_SESSION['inactivo15']);
//Alerta.
echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
//Redirigimos a acceder
echo '<script>window.location="login.php"</script>';
} else {
//Mensaje cuenta desactivado durante 15min.
$msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
}
} else {
//En caso contrario continuamos con el login.
//Comprobamos password mediante la función password_verify.
if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.
//Creamos sesión al usuario.
$_SESSION['usuario'] = $usernameBD;
//Reseteamos intentos fallidos a 0.
if ($check_attempt===1) {
//Sentencia.
$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
//Ligar parametros marcadores.
$stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
//Creo valores marcadres.
$reset_attempt = 0;
//id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
//Adrres ya es obtenido anteriormente.
$datetime = date('Y-m-d H:i:s', time());
//Ejecutar sentencia.
$stmtUp->execute();
//Cerrar sentencia.
$stmtUp->close();
}
//Redirigimos a pagina protegida
echo '<script>window.location="index.php"</script>';
$msg = 'ok';
} else { //Contraseña incorrecto, añadimos intentos fallidos.
//Actualizamos intentos usuario.
if ($check_attempt===0) {
//Insertar primer intento fallido.
//Sentencia.
$stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
//Ligar parametros marcadores.
$stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
//Creo valores marcadres.
//id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
//Adrres ya es obtenido anteriormente.
$attempts = 1;
$datetime = date('Y-m-d H:i:s', time());
//Ejecutar sentencia.
$stmtIn->execute();
//Cerrar sentencia.
$stmtIn->close();
} else {
//Actualizar, es decir, incrementar intento fallido.
//Sentencia.
$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
//Ligar parametros marcadores.
$stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
//Creo valores marcadres.
//id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
//Adrres ya es obtenido anteriormente.
$datetime = date('Y-m-d H:i:s', time());
//Ejecutar sentencia.
$stmtUp->execute();
//Cerrar sentencia.
$stmtUp->close();
//A no actualizar el navegador, incremento manualmente el attemp
$attempts = $attempts +1;
}
//Comprobamos si ha excedido más de 10 intentos fallidos mediante su IP.
//Calculamos intentos fallidos por IP.
$stmtIP = $con->prepare("SELECT SUM(attempt) as total FROM fail_attempt WHERE ip=?");
//Ligar parametros marcadores.
$stmtIP->bind_param("s",$addres);
//Ejecutar sentencia.
$stmtIP->execute();
//Ligar variables de resultados BD.
$stmtIP->bind_result($totalattempt);
//Obtenemos valores.
$stmtIP->fetch();
//Cerrar sentencia.
$stmtIP->close();
//IP esta bloqueda.
if ($totalattempt>=11) {
$_SESSION['inactivo1day'] = true;
//Redirigimos a acceder
echo '<script>window.location="login.php"</script>';
}
//Mensajes contraseña fallidos.
if ($attempts <=2) {
$msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
} elseif ($attempts==3) {
$_SESSION['captchaValidar'] = true;
echo '<script>window.location="login.php"</script>';
} elseif ($attempts==4) {
$msg = 'Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';
} elseif ($attempts==5) {
$_SESSION['inactivo15'] = date("H:i:s");
$msg = "Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
} elseif ($attempts <=9) {
$msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
} elseif ($attempts<=10) {
$msg = 'Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';
} else {
$msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
}
}
}
} else {
//Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
$msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
}
} $stmt->close();
} else {
//Cerrar sentencia.
$stmt->close();
$msg = 'El correo electrónico no existen en el sistema.';
}
}
}
//Respuesta Ajax
echo $msg;
?>
captcha_code.php
Nota: deberas crear dos carpetas
font/SpecialElite.ttf
yimg/captcha.png
, dicha imagen o fuente pueden ser personalizados a gusto de cada uno.
<?php
session_start();
$random_alpha = md5(rand());
$captcha_code = substr($random_alpha, 0, 6); // Numero total de caracters en el captcha
$_SESSION["captcha_code"] = $captcha_code;
$target_layer = imagecreatefrompng("img/captcha.png"); /// Fondo personalizado para el sistema de captcha.
$textColor = imagecolorallocate($target_layer, 71,171,118); // Color de la fuente
$lineColor = imagecolorallocate($target_layer, 255,255,255); // Color de las lineas del captcha
$imageInfo = getimagesize("img/captcha.png"); // fondo de la imagen
$linesToDraw = 40; // numero total de lineas en el captcha
for( $i = 10; $i < $linesToDraw; $i++ ) {
$xStart = mt_rand( 0, $imageInfo[ 0 ] );
$xEnd = mt_rand( 0, $imageInfo[ 0 ] );
imageline($target_layer, $xStart, 0, $xEnd, $imageInfo[1], $lineColor );
}
imagettftext($target_layer, 35, 2, 41, 50, $textColor, "font/SpecialElite.ttf", $captcha_code );
header("Content-type: image/png");
imagepng($target_layer);
imagedestroy($target_layer);
?>
capt_control.php
<?php
//Arrancamos sesión.
session_start();
//Zona region.
date_default_timezone_set("Europe/Madrid");
//Reseteo de variables.
$msg = $captcha_code = NULL;
//Definido formulario y no es NULL.
if (isset($_POST)) {
//Comprobamos que esten escrito correctamente los caracteres del captcha.
if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {
$msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
} else { //Caracteres coinciden.
//Destruimos la sesión.
unset($_SESSION['captchaValidar']);
//Redirigimos al login.
echo '<script>window.location="login.php"</script>';
}
}
//Respuesta Ajax
echo $msg;
?>
Estructura para hacer pruebas facilmente en
localhost
:
RAIZ
font / SpecialElite.ttf (font)
img / captcha.png (dimensiones: 250x60 pixeles)
capt_control.php
captcha_code.php
conect.php
index.php
login.php
login_control.php