Script PHP Ubah Password Aman PDO & Bcrypt

Q: Mengapa fungsi password_verify() mengembalikan nilai false meskipun password sudah benar?

Penyebab paling sering terjadi adalah ukuran kolom password pada tabel database MySQL yang terlalu pendek. Hash Bcrypt yang dihasilkan fungsi password_hash() membutuhkan lebar kolom minimal VARCHAR(255). Jika kolom Anda berukuran VARCHAR(32) (bekas MD5), string hash Bcrypt akan terpotong secara otomatis oleh database sehingga verifikasi selalu gagal.

Q: Bagaimana cara menambah proteksi CSRF pada script ubah password PHP native?

Buat token acak menggunakan bin2hex(random_bytes(32)) saat form dimuat, simpan ke dalam $_SESSION['csrf_token'], dan sisipkan sebagai input hidden csrf_token. Saat form di-submit, verifikasi dengan hash_equals($_SESSION['csrf_token'], $_POST['csrf_token']) sebelum memproses query database.

Q: Apakah PDO lebih aman dibandingkan MySQLi Prepared Statement untuk proses update password?

Keduanya sama-sama memberikan proteksi 100% aman terhadap SQL Injection apabila digunakan dengan sintaks Prepared Statement (binding parameter) yang benar. Keunggulan PDO terletak pada dukungannya terhadap 12 basis data berbeda dan sintaks named parameter yang lebih mudah dibaca dibandingkan sintaks tanda tanya (?) pada MySQLi.

Panduan lengkap dan script PHP ubah password aman menggunakan PDO, password_verify(), dan hash Bcrypt. Dilengkapi validasi form dan proteksi CSRF.

Fitur ubah password (change password) merupakan salah satu komponen paling kritis dalam keamanan sebuah aplikasi web. Banyak pengembang pemula masih melakukan kesalahan berbahaya seperti menggunakan enkripsi lawas (MD5/SHA1), menulis kueri SQL secara langsung yang rentan terhadap SQL Injection, atau melupakan proteksi Cross-Site Request Forgery (CSRF).

Melalui panduan praktis dari tim engineer infokoding ini, Anda akan mempelajari langkah demi langkah cara membuat script PHP ubah password yang 100% aman sesuai standar industri kriptografi modern. Kami menyediakan implementasi lengkap untuk script ubah password PHP MySQLi maupun PDO Prepared Statement, hashing Bcrypt / Argon2id, pemeriksaan regex kompleks, proteksi token CSRF terintegrasi, serta teknik mitigasi serangan Brute Force menggunakan Rate Limiting.

Key Takeaways (TL;DR Keamanan Script PHP Ubah Password)

Berikut adalah inti sari standar keamanan wajib dalam membangun fitur ubah kata sandi di PHP yang dirancang agar mudah dipahami oleh pengembang dan cepat diekstrak oleh mesin analisis data (AI Engines):

1. Enkripsi Kriptografi Adaptif (Bcrypt / Argon2id): Hindari MD5/SHA1! Gunakan password_hash() dengan Bcrypt atau PASSWORD_ARGON2ID (PHP 7.2+) yang berarsitektur memory-hard untuk menangkal serangan perangkat keras GPU / ASIC Brute Force.
2. Wajib Menggunakan Prepared Statement (PDO / MySQLi): Gunakan parameter binding (seperti $pdo->prepare() atau $mysqli->prepare()) untuk menjamin perlindungan 100% terhadap bahaya serangan SQL Injection (SQLi).
3. Validasi Regex Karakter Kompleks: Terapkan pengecekan preg_match() pada PHP untuk memaksa kata sandi baru minimal 8 karakter dan mengandung minimal 1 huruf besar, 1 angka, dan 1 karakter khusus/simbol.
4. Proteksi Token CSRF Terintegrasi: Buat token acak 32-byte menggunakan bin2hex(random_bytes(32)) yang disimpan di session dan diverifikasi dengan hash_equals() untuk mencegah serangan Cross-Site Request Forgery.
5. Mitigasi Brute Force dengan Rate Limiting: Catat jumlah percobaan verifikasi kata sandi lama yang gagal. Jika melebihi batas (misal 5 kali), kunci fungsi sementara (misal selama 15 menit) untuk memblokir peretasan otomatis.

Daftar Isi (Panduan Script PHP Ubah Password)

Key Takeaways (TL;DR Keamanan Script PHP Ubah Password)
Perbedaan 'Ubah Password' (Change Password) vs. 'Lupa Password' (Reset Password)
1. Konsep Dasar Cara Membuat Script PHP Ubah Password yang Aman
2. Infografis Diagram Alur Eksekusi Script (Session → CSRF → Regex → DB)
3. Script Ubah Password PHP MySQLi & PDO (Lengkap Form + Validasi + Unduh ZIP)
4. Pencegahan Brute Force Attack dengan Rate Limiting pada Form Ubah Password
5. Perbandingan Keamanan: Bcrypt vs Argon2id vs MD5 / SHA1 (Lengkap Sintaks)
6. Frequently Asked Questions (FAQ - Schema Rich Snippets)
7. Repositori GitHub & Link Unduh Langsung (.ZIP)

Perbedaan 'Ubah Password' (Change Password) vs. 'Lupa Password' (Reset Password)

Meskipun sering dianggap serupa oleh pemula, secara arsitektur backend, kedua fitur ini memiliki alur logika, pengujian validasi, dan tingkat risiko keamanan yang sangat berbeda:

Ubah Password (Change Password)

Dilakukan ketika pengguna sudah dalam kondisi login (memiliki sesi autentikasi aktif). Sistem wajib meminta input password lama terlebih dahulu untuk memverifikasi bahwa yang melakukan perubahan adalah pemilik akun asli, bukan pihak lain yang memanfaatkan perangkat atau komputer korban yang sedang terbuka.

Lupa Password (Reset Password)

Dilakukan ketika pengguna tidak dapat login karena lupa kata sandi. Karena tidak mungkin meminta verifikasi password lama, keamanan digantungkan pada pembuatan Token Acak Sekali Pakai (One-Time Token) yang dikirimkan melalui tautan email atau SMS dengan masa kedaluwarsa singkat (misal: 15–30 menit).

Tips Pengembangan: Untuk memperdalam pemahaman mengenai standar sintaks backend dan pengamanan server, silakan pelajari artikel kami mengenai fitur baru PHP 8 yang wajib diketahui developer serta 7 langkah ampuh mengamankan server Linux.

1. Konsep Dasar Cara Membuat Script PHP Ubah Password yang Aman

Sebelum menulis kode logika, sangat penting untuk memahami 3 pilar keamanan utama dalam membuat fitur autentikasi dan ubah kata sandi modern:

Algoritma Bcrypt (password_hash()): Tidak seperti MD5 yang statis dan dapat dipecahkan dalam hitungan detik menggunakan Rainbow Table, Bcrypt menambahkan random salt unik secara otomatis dan memiliki faktor biaya (cost factor) komputasi adaptif yang sangat tangguh terhadap serangan Brute Force.
Prepared Statement (PDO / MySQLi): Memisahkan secara tegas antara struktur kueri SQL dengan data input dari pengguna. Ini adalah satu-satunya metode yang menjamin sistem Anda kebal 100% terhadap serangan SQL Injection (SQLi).
Proteksi CSRF (Cross-Site Request Forgery): Mencegah peretas memanfaatkan sesi login aktif pengguna untuk memicu perubahan password dari situs web pihak ketiga tanpa sepengetahuan korban.

Catatan Tambahan: Keunggulan PASSWORD_ARGON2ID (PHP 7.2+)

Selain Bcrypt, mulai dari PHP 7.2+ telah mendukung algoritma pemenang kompetisi kriptografi internasional yaitu PASSWORD_ARGON2ID. Algoritma ini dirancang secara khusus dengan arsitektur memory-hard (memaksa alokasi RAM intensif). Hal ini membuat Argon2id jauh lebih tangguh terhadap serangan peretasan perangkat keras masif berbasis GPU / ASIC Brute Force dibandingkan Bcrypt konvensional. Penggunaannya sangat mudah, Anda cukup mengganti parameter pada fungsi menjadi password_hash($newPassword, PASSWORD_ARGON2ID).

2. Infografis Diagram Alur Eksekusi Script (Session → CSRF → Regex → DB)

Untuk menjamin keamanan level produksi, script ubah password tidak boleh bekerja dalam satu tahap sederhana. Sistem harus melalui 5 lapisan verifikasi beruntun (Defense-in-Depth) guna mencegah kebocoran sesi, SQL Injection, hingga manipulasi parameter. Perhatikan infografis diagram alur eksekusi berikut:

Infografis Alur Eksekusi Keamanan Script PHP Ubah Password: dari Session, Validasi CSRF Token, Pemeriksaan Regex, Verifikasi Password Lama, hingga Update Database menggunakan Prepared Statement

Gambar 1: Alur 5 Lapisan Keamanan (Defense-in-Depth) pada Script Ubah Password PHP

Diagram Alur Eksekusi Keamanan (Security Execution Flow)

Tahapan verifikasi berlapis dari submit form hingga pembaruan database

Session → CSRF → Regex → DB

Session & Throttling

Inisialisasi session_start() serta pengecekan status kunci (lockout) dari percobaan Brute Force sebelumnya.

Validasi CSRF Token

Pencocokan token form dengan session menggunakan hash_equals() untuk mencegah serangan lintas situs.

Regex & Kompleksitas

Eksekusi preg_match() memastikan password baru minimal 8 char, ada huruf besar, angka, dan simbol.

Verifikasi Password Lama

Ambil hash DB via Prepared Statement, lalu cocokkan dengan input lama menggunakan password_verify().

Hash & Update DB

Enkripsi Bcrypt / Argon2id baru, update ke DB via PDO/MySQLi Prepared Statement, lalu reset hitungan gagal.

Semua tahapan wajib dilalui secara urut (independen & anti-bypass)

Architecture: Clean Defense-in-Depth

3. Script Ubah Password PHP MySQLi & PDO (Lengkap Form + Validasi + Unduh ZIP)

Berikut adalah implementasi kode PHP asli (native) lengkap yang telah dilengkapi dengan pemeriksaan regex (minimal 1 huruf besar, 1 angka, dan 1 karakter khusus), enkripsi Bcrypt, serta sistem proteksi CSRF. Anda dapat beralih antara opsi PDO dan MySQLi menggunakan tab di bawah ini, menyalin kode langsung dengan satu tombol, atau mengunduh keseluruhan proyek dalam format .zip.

Butuh Semua Script dalam 1 File?

Unduh arsip lengkap siap pakai (.zip) langsung dari repositori resmi kami.

Unduh Langsung File .ZIP

change_password_pdo.php PDO + Bcrypt + Regex + CSRF

<?php
// =====================================================================
// SCRIPT UBAH PASSWORD AMAN (PDO + BCRYPT + REGEX + CSRF PROTECTED)
// Author: Rusmawan Abdullah Sani (infokoding.com)
// =====================================================================

// 1. Memulai Session untuk menyimpan CSRF Token dan status login
session_start();

// 2. Generator Token CSRF (Dibuat otomatis saat session kosong)
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

// Konfigurasi Koneksi Database PDO
$host     = 'localhost';
$db       = 'nama_database_anda';
$user     = 'root';
$password = '';
$charset  = 'utf8mb4';

$dsn = "mysql:host=$host;dbname=$db;charset=$charset";
$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES   => false,
];

try {
    $pdo = new PDO($dsn, $user, $password, $options);
} catch (PDOException $e) {
    die('Koneksi database gagal: ' . $e->getMessage());
}

// Simulasi ID User yang sedang login dari session
$userId = $_SESSION['user_id'] ?? 1;
$message = '';
$messageType = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 3. Validator Token CSRF (Mencegah Cross-Site Request Forgery)
    if (!isset($_POST['csrf_token']) || !hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('Validasi keamanan CSRF gagal! Permintaan dicurigai tidak sah.');
    }

    // Regenerasi token CSRF setelah diverifikasi (One-Time Use)
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));

    $oldPassword     = trim($_POST['old_password'] ?? '');
    $newPassword     = trim($_POST['new_password'] ?? '');
    $confirmPassword = trim($_POST['confirm_password'] ?? '');

    // 4. Validasi Input, Panjang Minimum, dan Keamanan Regex
    if (empty($oldPassword) || empty($newPassword) || empty($confirmPassword)) {
        $message = 'Semua kolom password wajib diisi!';
        $messageType = 'danger';
    } elseif ($newPassword !== $confirmPassword) {
        $message = 'Konfirmasi password baru tidak cocok!';
        $messageType = 'danger';
    } elseif (strlen($newPassword) < 8) {
        $message = 'Password baru minimal harus terdiri dari 8 karakter!';
        $messageType = 'danger';
    } elseif (!preg_match('/[A-Z]/', $newPassword) || !preg_match('/[0-9]/', $newPassword) || !preg_match('/[^a-zA-Z0-9]/', $newPassword)) {
        $message = 'Password baru wajib mengandung minimal 1 huruf besar, 1 angka, dan 1 karakter khusus/simbol!';
        $messageType = 'danger';
    } else {
        // 5. Ambil data password lama dari database menggunakan PDO Prepared Statement
        $stmt = $pdo->prepare('SELECT password FROM users WHERE id = :id LIMIT 1');
        $stmt->execute(['id' => $userId]);
        $userData = $stmt->fetch();

        // 6. Verifikasi Password Lama dengan password_verify()
        if ($userData && password_verify($oldPassword, $userData['password'])) {
            // Hash Password Baru menggunakan Bcrypt (Atau PASSWORD_ARGON2ID pada PHP 7.2+)
            $newHashedPassword = password_hash($newPassword, PASSWORD_BCRYPT);

            // 7. Update Password Baru ke Database secara aman
            $updateStmt = $pdo->prepare('UPDATE users SET password = :password, updated_at = NOW() WHERE id = :id');
            $updateStmt->execute([
                'password' => $newHashedPassword,
                'id'       => $userId
            ]);

            $message = 'Kata sandi Anda berhasil diperbarui dengan aman!';
            $messageType = 'success';
        } else {
            $message = 'Password lama saat ini salah!';
            $messageType = 'danger';
        }
    }
}
?>
<!DOCTYPE html>
<html lang="id">
<head>
    <meta charset="UTF-8">
    <title>Form Ubah Password Aman (PDO)</title>
    <style>
        body { font-family: sans-serif; max-width: 500px; margin: 40px auto; padding: 20px; background: #0f172a; color: #f8fafc; }
        .form-group { margin-bottom: 15px; }
        label { display: block; margin-bottom: 5px; font-weight: bold; font-size: 14px; color: #cbd5e1; }
        input[type="password"] { width: 100%; padding: 10px; border: 1px solid #334155; border-radius: 6px; background: #1e293b; color: #fff; box-sizing: border-box; }
        button { background: #38bdf8; color: #0f172a; border: none; padding: 12px 20px; border-radius: 6px; font-weight: bold; cursor: pointer; width: 100%; transition: 0.2s; }
        button:hover { background: #0284c7; color: #fff; }
        .alert { padding: 12px; border-radius: 6px; margin-bottom: 20px; font-size: 14px; font-weight: bold; }
        .alert-success { background: #065f46; color: #a7f3d0; border: 1px solid #059669; }
        .alert-danger { background: #7f1d1d; color: #fecaca; border: 1px solid #dc2626; }
    </style>
</head>
<body>

<h2 style="margin-top:0; color:#38bdf8;">Ubah Kata Sandi</h2>

<?php if (!empty($message)): ?>
    <div class="alert alert-<?php echo $messageType; ?>">
        <?php echo htmlspecialchars($message, ENT_QUOTES, 'UTF-8'); ?>
    </div>
<?php endif; ?>

<form action="" method="POST">
    <!-- 8. Sisipkan Generator Token CSRF sebagai Input Hidden -->
    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars($_SESSION['csrf_token'], ENT_QUOTES, 'UTF-8'); ?>">

    <div class="form-group">
        <label for="old_password">Password Saat Ini</label>
        <input type="password" id="old_password" name="old_password" required>
    </div>
    <div class="form-group">
        <label for="new_password">Password Baru (Min. 8 Karakter, 1 Huruf Besar, 1 Angka & 1 Simbol)</label>
        <input type="password" id="new_password" name="new_password" required minlength="8">
    </div>
    <div class="form-group">
        <label for="confirm_password">Konfirmasi Password Baru</label>
        <input type="password" id="confirm_password" name="confirm_password" required minlength="8">
    </div>
    <button type="submit">Simpan Password Baru</button>
</form>

</body>
</html>

change_password_mysqli.php MySQLi + Bcrypt + Regex + CSRF

<?php
// =====================================================================
// SCRIPT UBAH PASSWORD AMAN (MYSQLI + BCRYPT + REGEX + CSRF PROTECTED)
// Author: Rusmawan Abdullah Sani (infokoding.com)
// =====================================================================

// 1. Memulai Session untuk menyimpan CSRF Token dan status login
session_start();

// 2. Generator Token CSRF (Dibuat otomatis saat session kosong)
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

// Konfigurasi Koneksi Database MySQLi
$host     = 'localhost';
$db       = 'nama_database_anda';
$user     = 'root';
$password = '';

// Mengaktifkan pelaporan error MySQLi menjadi Exception
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
try {
    $mysqli = new mysqli($host, $user, $password, $db);
    $mysqli->set_charset('utf8mb4');
} catch (Exception $e) {
    die('Koneksi database gagal: ' . $e->getMessage());
}

// Simulasi ID User yang sedang login dari session
$userId = $_SESSION['user_id'] ?? 1;
$message = '';
$messageType = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 3. Validator Token CSRF (Mencegah Cross-Site Request Forgery)
    if (!isset($_POST['csrf_token']) || !hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('Validasi keamanan CSRF gagal! Permintaan dicurigai tidak sah.');
    }

    // Regenerasi token CSRF setelah diverifikasi (One-Time Use)
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));

    $oldPassword     = trim($_POST['old_password'] ?? '');
    $newPassword     = trim($_POST['new_password'] ?? '');
    $confirmPassword = trim($_POST['confirm_password'] ?? '');

    // 4. Validasi Input, Panjang Minimum, dan Keamanan Regex
    if (empty($oldPassword) || empty($newPassword) || empty($confirmPassword)) {
        $message = 'Semua kolom password wajib diisi!';
        $messageType = 'danger';
    } elseif ($newPassword !== $confirmPassword) {
        $message = 'Konfirmasi password baru tidak cocok!';
        $messageType = 'danger';
    } elseif (strlen($newPassword) < 8) {
        $message = 'Password baru minimal harus terdiri dari 8 karakter!';
        $messageType = 'danger';
    } elseif (!preg_match('/[A-Z]/', $newPassword) || !preg_match('/[0-9]/', $newPassword) || !preg_match('/[^a-zA-Z0-9]/', $newPassword)) {
        $message = 'Password baru wajib mengandung minimal 1 huruf besar, 1 angka, dan 1 karakter khusus/simbol!';
        $messageType = 'danger';
    } else {
        // 5. Ambil data password lama dari database menggunakan MySQLi Prepared Statement
        $stmt = $mysqli->prepare('SELECT password FROM users WHERE id = ? LIMIT 1');
        $stmt->bind_param('i', $userId);
        $stmt->execute();
        $result = $stmt->get_result();
        $userData = $result->fetch_assoc();

        // 6. Verifikasi Password Lama dengan password_verify()
        if ($userData && password_verify($oldPassword, $userData['password'])) {
            // Hash Password Baru menggunakan Bcrypt (Atau PASSWORD_ARGON2ID pada PHP 7.2+)
            $newHashedPassword = password_hash($newPassword, PASSWORD_BCRYPT);

            // 7. Update Password Baru ke Database secara aman via MySQLi
            $updateStmt = $mysqli->prepare('UPDATE users SET password = ?, updated_at = NOW() WHERE id = ?');
            $updateStmt->bind_param('si', $newHashedPassword, $userId);
            $updateStmt->execute();

            $message = 'Kata sandi Anda berhasil diperbarui dengan aman!';
            $messageType = 'success';
        } else {
            $message = 'Password lama saat ini salah!';
            $messageType = 'danger';
        }
    }
}
?>
<!DOCTYPE html>
<html lang="id">
<head>
    <meta charset="UTF-8">
    <title>Form Ubah Password Aman (MySQLi)</title>
    <style>
        body { font-family: sans-serif; max-width: 500px; margin: 40px auto; padding: 20px; background: #0f172a; color: #f8fafc; }
        .form-group { margin-bottom: 15px; }
        label { display: block; margin-bottom: 5px; font-weight: bold; font-size: 14px; color: #cbd5e1; }
        input[type="password"] { width: 100%; padding: 10px; border: 1px solid #334155; border-radius: 6px; background: #1e293b; color: #fff; box-sizing: border-box; }
        button { background: #38bdf8; color: #0f172a; border: none; padding: 12px 20px; border-radius: 6px; font-weight: bold; cursor: pointer; width: 100%; transition: 0.2s; }
        button:hover { background: #0284c7; color: #fff; }
        .alert { padding: 12px; border-radius: 6px; margin-bottom: 20px; font-size: 14px; font-weight: bold; }
        .alert-success { background: #065f46; color: #a7f3d0; border: 1px solid #059669; }
        .alert-danger { background: #7f1d1d; color: #fecaca; border: 1px solid #dc2626; }
    </style>
</head>
<body>

<h2 style="margin-top:0; color:#38bdf8;">Ubah Kata Sandi (MySQLi)</h2>

<?php if (!empty($message)): ?>
    <div class="alert alert-<?php echo $messageType; ?>">
        <?php echo htmlspecialchars($message, ENT_QUOTES, 'UTF-8'); ?>
    </div>
<?php endif; ?>

<form action="" method="POST">
    <!-- 8. Sisipkan Generator Token CSRF sebagai Input Hidden -->
    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars($_SESSION['csrf_token'], ENT_QUOTES, 'UTF-8'); ?>">

    <div class="form-group">
        <label for="old_password">Password Saat Ini</label>
        <input type="password" id="old_password" name="old_password" required>
    </div>
    <div class="form-group">
        <label for="new_password">Password Baru (Min. 8 Karakter, 1 Huruf Besar, 1 Angka & 1 Simbol)</label>
        <input type="password" id="new_password" name="new_password" required minlength="8">
    </div>
    <div class="form-group">
        <label for="confirm_password">Konfirmasi Password Baru</label>
        <input type="password" id="confirm_password" name="confirm_password" required minlength="8">
    </div>
    <button type="submit">Simpan Password Baru</button>
</form>

</body>
</html>

4. Pencegahan Brute Force Attack dengan Rate Limiting pada Form Ubah Password

Meskipun Anda telah menggunakan enkripsi Bcrypt dan token CSRF, form ubah password masih berpotensi menjadi target serangan Brute Force. Jika peretas berhasil mendapatkan akses fisik sementara atau mencuri cookie sesi pengguna, mereka mungkin mencoba menebak kata sandi lama secara berulang-ulang melalui program otomatis.

Untuk memitigasi risiko ini, Anda wajib menerapkan mekanisme Rate Limiting (Throttling) atau pembatasan laju percobaan login/verifikasi. Ketika pengguna gagal menebak password lama melebihi batas maksimal (misalnya 5 kali), sistem akan mengunci fungsi ubah password untuk sementara waktu.

Contoh Implementasi Rate Limiting Berbasis Session PHP

Sisipkan logika penghitung kegagalan ini tepat di atas pengecekan password_verify() pada skrip Anda:

<?php
// Inisialisasi variabel rate limiting di session
if (!isset($_SESSION['failed_pwd_attempts'])) {
    $_SESSION['failed_pwd_attempts'] = 0;
    $_SESSION['lockout_time']        = 0;
}

// 1. Cek apakah pengguna sedang dalam masa penguncian (lockout)
if ($_SESSION['failed_pwd_attempts'] >= 5 && time() < $_SESSION['lockout_time']) {
    $sisaWaktu = ceil(($_SESSION['lockout_time'] - time()) / 60);
    die("Terlalu banyak percobaan gagal! Fungsi ubah password dikunci. Silakan coba lagi dalam $sisaWaktu menit.");
}

// 2. Logika saat verifikasi password_verify() dijalankan:
if ($userData && password_verify($oldPassword, $userData['password'])) {
    // Verifikasi sukses: Reset hitungan kegagalan menjadi nol
    $_SESSION['failed_pwd_attempts'] = 0;
    $_SESSION['lockout_time']        = 0;

    // Lanjutkan proses update password baru...
} else {
    // Verifikasi gagal: Tambahkan hitungan percobaan
    $_SESSION['failed_pwd_attempts']++;

    // Jika gagal mencapai 5 kali, kunci selama 15 menit (900 detik)
    if ($_SESSION['failed_pwd_attempts'] >= 5) {
        $_SESSION['lockout_time'] = time() + 900;
    }

    $message = 'Password lama Anda salah! (Percobaan gagal ke-' . $_SESSION['failed_pwd_attempts'] . '/5)';
}
?>

Untuk sistem skala besar (enterprise), disarankan menyimpan catatan hitungan percobaan gagal dan timestamp lockout secara permanen di database atau Redis / Memcached, serta mengaktifkan verifikasi tambahan seperti Google reCAPTCHA v3 setelah 3 kali kegagalan.

5. Perbandingan Keamanan: Bcrypt vs Argon2id vs MD5 / SHA1 (Lengkap Sintaks)

Banyak aplikasi web lama masih menyimpan password dalam format md5() atau sha1(). Hal ini sangat berbahaya karena enkripsi lama tersebut mudah dipecahkan menggunakan teknik Rainbow Table dan GPU Brute Force modern. Tabel berikut menampilkan perbandingan lengkap disertai dengan label sintaksis pemanggilan fungsi di PHP:

Fitur & Kriteria Keamanan	MD5 / SHA1 (Lama) Sintaks: md5($pwd) / sha1($pwd)	Bcrypt (Modern) Sintaks: password_hash($pwd, PASSWORD_BCRYPT)	Argon2id (PHP 7.2+ Terkuat) Sintaks: password_hash($pwd, PASSWORD_ARGON2ID)
Sintaks Verifikasi Hash	$input === $hashDb (Manual / Rentan Timing Attack)	password_verify($input, $hashDb) (Native PHP Security)	password_verify($input, $hashDb) (Native PHP Security)
Garam Otomatis (Salting Syntax)	Tidak Ada (Garam Statis / Manual)	Otomatis 22 karakter salt acak unik	Otomatis salt acak terenkripsi memori
Resistensi GPU / ASIC Brute Force	Sangat Lemah (Miliaran hash/detik)	Kuat (CPU-hard / Cost factor adaptif)	Sangat Kuat (Memory-hard & CPU-hard)
Kebutuhan Memori & Biaya Komputasi	Statis & Sangat Rendah	Parameter ['cost' => 10] (Fleksibel beban CPU)	['memory_cost', 'time_cost', 'threads'] (Fleksibel beban RAM & CPU)
Rekomendasi OWASP & Industri	Dilarang Keras (Deprecated/Insecure)	Direkomendasikan (Standar Umum)	Sangat Direkomendasikan (Pemenang PHC)

6. Frequently Asked Questions (FAQ - Schema Rich Snippets)

Bagian ini disusun khusus menggunakan format tanya-jawab dengan struktur **Schema Markup FAQPage** (HTML5 Microdata & JSON-LD) agar dapat diparse secara optimal oleh mesin pencari Google Rich Results maupun sistem AI Search Engines (seperti ChatGPT Search, Perplexity, dan Google Overviews):

Mengapa fungsi password_verify() mengembalikan nilai false meskipun password sudah benar?

Penyebab paling sering terjadi adalah ukuran kolom password pada tabel database MySQL yang terlalu pendek. Hash Bcrypt yang dihasilkan fungsi password_hash() membutuhkan lebar kolom minimal VARCHAR(255). Jika kolom Anda berukuran VARCHAR(32) (bekas MD5), string hash Bcrypt akan terpotong secara otomatis oleh database sehingga verifikasi selalu gagal.

Bagaimana cara menambah proteksi CSRF pada script ubah password PHP native?

Buat token acak menggunakan bin2hex(random_bytes(32)) saat form dimuat, simpan ke dalam $_SESSION['csrf_token'], dan sisipkan sebagai <input type="hidden" name="csrf_token" value="...">. Saat form di-submit, verifikasi dengan hash_equals($_SESSION['csrf_token'], $_POST['csrf_token']) sebelum memproses query database.

Apakah PDO lebih aman dibandingkan MySQLi Prepared Statement untuk proses update password?

Keduanya sama-sama memberikan proteksi 100% aman terhadap SQL Injection apabila digunakan dengan sintaks Prepared Statement (binding parameter) yang benar. Keunggulan PDO terletak pada dukungannya terhadap 12 basis data berbeda (tidak hanya MySQL) dan sintaks named parameter (seperti :id, :password) yang lebih mudah dibaca dibandingkan sintaks tanda tanya (?) pada MySQLi.

7. Repositori GitHub & Link Unduh Langsung (.ZIP)

v2.4-stable Ready

Seluruh implementasi kode PHP asli (native) baik untuk metode PDO Prepared Statement maupun MySQLi yang dilengkapi dengan validasi Regex kompleks, proteksi token CSRF, serta modul mitigasi Brute Force (Rate Limiting) dapat Anda akses, unduh, atau kontribusikan langsung melalui repositori GitHub resmi kami:

Official GitHub Repository: PHP Secure Password Change Scripts

github.com/admininfokoding/php-secure-password-change-scripts

Disusun, diuji, dan diverifikasi untuk lingkungan server produksi berkinerja tinggi oleh Rusmawan Abdullah Sani (infokoding.com).

Lihat Repositori GitHub Unduh Langsung File .ZIP

Silakan lakukan star atau fork pada repositori untuk mempermudah pemantauan saat terjadi pembaruan standar keamanan PHP berikutnya.

Rusmawan Abdullah Sani

DevOps Engineer & Lead Developer at infokoding

Profil LinkedIn

Praktisi pengembangan web, DevOps, dan keamanan jaringan server Linux dengan pengalaman mengelola infrastruktur cloud server berskala produksi. Berfokus membagikan panduan teknis mendalam tentang administrasi server, otomasi deployment, dan tutorial programming di infokoding.com.