Короче, я сначала думал, что MD5 норм, пока где-то не увидел, что его можно легко сломать. Теперь стараюсь сразу бежать к SHA-256 или bcrypt, чтоб потом не ловить баги с безопасностью. Главное не думать, что хеш — это шифр, это просто другой подход, и ломают их по-другому.