Mot de passe en texte brut sur HTTPS

Question

Je travaille actuellement sur un fournisseur PHP OpenID qui fonctionnera sur HTTPS (donc crypté SSL).
Est-ce mal pour moi de transmettre le mot de passe en texte brut? HTTPS en théorie, ne peut pas être intercepté, donc je ne vois rien de mal. Ou est-ce dangereux à un certain niveau et je ne vois pas cela?

Answer 1

C'est sûr. C'est ainsi que tout le Web fonctionne. Tous les mots de passe dans les formulaires sont toujours envoyés en texte brut, donc c'est à HTTPS de le sécuriser.

Answer 2

Vous devez toujours vous assurer de l'envoyer via une demande POST, et non GET. Si vous l'envoyez via une requête GET, il peut être enregistré en texte brut dans les journaux d'historique du navigateur de l'utilisateur ou dans les journaux d'accès du serveur Web.

Answer 3

Si HTTP est désactivé et que vous utilisez uniquement HTTPS, vous ne transmettez pas vraiment le mot de passe en texte brut de toute façon.

Answer 4

Les autres affiches sont correctes. Maintenant que vous utilisez SSL pour crypter la transmission du mot de passe, assurez-vous de le hacher avec un bon algorithme et du sel afin qu'il soit également protégé lorsqu'il est au repos ...