Так понимаю, если щас что-то и работает нормально, то лучше сразу на Argon2 смотреть, он вроде как и круче bcrypt, и не такой древний, а просто sha256 — это уже больше для проверки, чем для безопасности паролей? Главное, чтоб не возвращаться к MD5 с SHA1, там реально дыр полно.