Psal jsi, že máš program v C# - předpokládám, že svůj.
Ten program musí posílat heslo už hashované, web odpoví, zda kombinace jména a hashe souhlasí s tím, co je uloženo v databázi. Pokud posíláš heslo v nezakódované podobě do URL, tak to je špatně.