MD5 и SHA-1 реально уже в прошлом — коллизии давно уже не просто теоретика, а реальность. Для паролей лучше брать что-то типа bcrypt или Argon2 с солью и итерациями, иначе легко проседать. Простое sha256 без соли и повторов — это минималка, которую уже почти никто серьёзно не юзает. Главное – не лениться с настройками и не экономить на безопасности при разработке.