▷ Recuperación de contraseña por preguntas PHP [SOLUCIONADO]

Implementación de Preguntas de Seguridad en PHP

La seguridad informática es un tema que no se debe tomar a la ligera dentro del desarrollo web, y una de las características principales de un sistema seguro es tener un método de recuperación de contraseña confiable. En PHP, la implementación de un sistema que utilice preguntas de seguridad para la recuperación de credenciales es una práctica común.

Este artículo proporcionará un enfoque práctico en la creación de un sistema de restablecimiento de contraseña basado en preguntas de seguridad, incluyendo la parte del código y las buenas prácticas de programación.

Crear la Base de Datos y Tablas Requeridas

Antes de sumergirnos en el código PHP, debemos preparar nuestra base de datos. Necesitaremos una tabla para los usuarios y otra para las preguntas de seguridad.

Estructura de la Tabla de Usuarios

A continuación, se muestra un ejemplo de cómo podría ser la estructura de nuestra tabla de usuarios.

CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(50) NOT NULL UNIQUE,
    password VARCHAR(255) NOT NULL,
    security_question_id INT,
    security_answer VARCHAR(255)
);

Estructura de la Tabla de Preguntas de Seguridad

Además, creamos una tabla para almacenar las posibles preguntas de seguridad.

CREATE TABLE security_questions (
    id INT AUTO_INCREMENT PRIMARY KEY,
    question TEXT NOT NULL
);

Flujo del Proceso de Restablecimiento

El proceso de restablecimiento de contraseña generalmente fluye de la siguiente manera:

El usuario indica que ha olvidado su contraseña.
El sistema le pide que escriba su nombre de usuario o dirección de correo electrónico.
Una vez identificado el usuario, se le presentan las preguntas de seguridad que configuró previamente.
El usuario responde las preguntas.
Si las respuestas son correctas, el usuario puede establecer una nueva contraseña.

Código PHP para Validar Usuario y Preguntas de Seguridad

Una vez preparada la base de datos, procedemos a desarrollar el código PHP. El siguiente fragmento de código valida el nombre de usuario y extrae la pregunta de seguridad asociada a dicho usuario.

<?php
// Suponiendo que ya tenemos una conexión a la base de datos en $db

// Recibimos el nombre de usuario
$username = $_POST['username'];

// Preparamos la consulta para obtener la pregunta de seguridad del usuario
$query = "SELECT security_question_id FROM users WHERE username = ?";
$stmt = $db->prepare($query);
$stmt->bind_param("s", $username);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    // El usuario existe, obtenemos la pregunta de seguridad
    $row = $result->fetch_assoc();
    $security_question_id = $row['security_question_id'];

    // Ahora obtenemos la pregunta de la otra tabla
    $query = "SELECT question FROM security_questions WHERE id = ?";
    $stmt = $db->prepare($query);
    $stmt->bind_param("i", $security_question_id);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows > 0) {
        $row = $result->fetch_assoc();
        echo "Pregunta de seguridad: " . $row['question'];
        // Aquí mostraremos un formulario para que el usuario responda la pregunta
    } else {
        echo "No se encontró la pregunta de seguridad.";
    }
} else {
    echo "El usuario no existe.";
}
?>

Después de que el usuario responda la pregunta, necesitaremos validar si la respuesta es correcta antes de permitir el cambio de contraseña.

Validar Respuesta de Seguridad y Cambiar Contraseña

El siguiente código valida la respuesta de seguridad y permite a los usuarios cambiar su contraseña.

<?php
// Suponiendo que la respuesta de la pregunta de seguridad está en la variable $security_answer
// y que la nueva contraseña está en $new_password

// Encriptamos la nueva contraseña
$new_password_hash = password_hash($new_password, PASSWORD_DEFAULT);

// Verificamos la respuesta de seguridad
$query = "SELECT security_answer FROM users WHERE username = ?";
$stmt = $db->prepare($query);
$stmt->bind_param("s", $username);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    $row = $result->fetch_assoc();
    if (password_verify($security_answer, $row['security_answer'])) {
        // La respuesta es correcta, actualizamos la contraseña
        $query = "UPDATE users SET password = ? WHERE username = ?";
        $stmt = $db->prepare($query);
        $stmt->bind_param("ss", $new_password_hash, $username);
        if ($stmt->execute()) {
            echo "La contraseña ha sido actualizada con éxito.";
        } else {
            echo "Error al actualizar la contraseña.";
        }
    } else {
        echo "La respuesta de seguridad no es correcta.";
    }
} else {
    echo "No se encontró al usuario.";
}
?>

Es importante usar encriptación para las contraseñas y las respuestas de las preguntas de seguridad. PHP ofrece la función password_hash para encriptar las contraseñas y password_verify para validarlas.

Prácticas Recomendadas y Seguridad Adicional

Al diseñar sistemas de recuperación de contraseña, es crucial no sólo proporcionar funcionalidad, sino también considerar la seguridad. Aquí hay algunas recomendaciones adicionales:

Limitar los intentos fallidos para prevenir ataques de fuerza bruta.
Implementar un retraso temporal después de cada intento incorrecto.
Usar HTTPS para proteger la información que se envía a través de Internet.
Recuerda sanitizar y validar todas las entradas del usuario para prevenir inyecciones SQL.
Combinar preguntas de seguridad con otros métodos, como enlaces de recuperación enviados por correo electrónico.

Implementar un sistema de preguntas de seguridad es apenas uno de los múltiples pasos para garantizar la integridad y protección de las cuentas en tus aplicaciones web. Siempre mantén tus prácticas de seguridad actualizadas y sigue las tendencias y recomendaciones de la industria.