Неплохо расписано, только учти, что соль лучше генерить уникальную для каждого пароля, иначе толку мало. И да, bcrypt или Argon2 реально дают фору простым SHA-256 при защите паролей, потому что специально замедляют процесс. В остальном тема чёткая, самое главное — не пытаться «откатить» хеш, это бессмысленно по определению.