Если только начинаешь с хешей — не заморачивайся с самодельными решениями, возьми bcrypt или Argon2 и забудь про эксперименты с sha256 без соли. Иначе потом долго будешь перебирать ошибки и удивляться, почему всё так легко взломали. Лучше один раз правильно сделать, чем потом лечить проблемы.