>>Philippot

Sauf erreur de ma part, un site garde les mdp dans sa base, sinon comment il vérifierai que l'authentification est valide ??
Maintenant je crois qu'il faut que les mdp soient cryptés dans la base.

Les bases de données ont un encryptage des champs de type password. Donc même l'administrateur de la BDD ne peut pas les voir.
Après rien n'empêche un développeur d'utiliser un champ normal (dans ce cas, il peut aller voir les mots de passe).