Похоже, что MD5 и SHA-1 уже точно пора забыть, а простого SHA-256 без соли для паролей хватает ненадолго — лучше сразу делать с чем-то вроде Argon2. В старых проектах часто встречается, что вообще не заморачиваются с солью и итерациями, а это прям дыра открытая. Главное — не думать, что хеш можно расшифровать, это совсем другая история.