Cookie = fichier texte en clair sur le PC de l'utilisateur. Regarde les cookies des autres sites que tu visites (par exemple celui-ci ).

Sinon, pour ne pas réinventer la roue, n'oublie pas qu'il existe des tas de systèmes qui permettent de créer un site sans devoir tout programmer (CMS, gestionnaire de communautés, forums... ).

Un CMS qui a le vent en poupe actuellement c'est Joomla :
http://www.joomla.org/
Mais il en existe plein d'autres

Le MD5 n'est pas ce qu'il y a de mieux loin de là Mais bon pour pouvoir en tirer en parti, il faut que le pirate ait accès à la base de données. Mais utilise plutôt du SHA que du MD5 pour hasher les pass.