Согласен, что просто соль + md5 — это сегодня почти как ковёр безопасности без дыр. Да, bcrypt грузит чуть дольше, но лучше так, чем потом ловить чужаков у себя в базе. Главное — не пренебрегать солью и выбирать алгоритмы с замедлением, чтобы не подарить тёмным силам лёгкий доступ. Знаю, что миграция паролей — боль, но иначе никакой толк от обновлений не будет.