Grazie Cyrus ho risolto, il problema era il seguente:
$password = $_POST['password'];

senza definire questa variabile funziona perfettamente, penso che questo
assegni alla variabile $password il valore password e quindi qualsiasi
password che io inviavo dal form non contava nulla.