Отличный чек-лист, всё понятно и по делу. Сам на старте спотыкался об md5, теперь понял, что лучше сразу брать bcrypt или Argon2, чтобы не мучиться потом. Соль реально помогает, по-другому одинаковые пароли выдают одинаковые хеши — полный провал. А регулярная проверка паролей с Hashcat — штука полезная, хоть и ресурсоёмкая. В целом, с таким подходом можно уже нормально защититься от базовых проблем.