Соглашусь, что выбор алгоритма и соль — это базовые моменты. MD5 и SHA-1 уже устарели и легко ломаются, а вот bcrypt и Argon2 реально добавляют защиты за счёт сложной обработки. При этом хранение и обновление хешей часто недооценивают, хотя именно там часто возникают уязвимости, особенно если забыть про правильную работу с базой и кешами.