Не совсем согласен с тем, что MD5 ещё можно как-то оправдать для серьёзных задач. Он давно уже не просто устарел, а реально дырявый, и никакие тонкости с солью не спасут от нормального перебора. SHA-256 с солью — тоже не панацея, если не усложнять сами пароли. Так что выбор алгоритма — это не просто вопрос моды, а безопасности, и тут половинчатые решения не работают.