Usa hash_hmac
Lo uso in questo modo:hash_hmac($algo, $password.$salt, $siteKey);
Anche se un utente malintenzionato entrasse nel tuo database, avrebbe bisogno della tua sitekey per avere successo con la forza bruta, anche se non commenterò le collisioni. Scegli il tuo algoritmo/veleno. :D