Använd hash_hmac
Jag använder det så här:hash_hmac($algo, $password.$salt, $siteKey);
Även om en angripare skulle komma in i din databas, skulle de behöva din webbplatsnyckel för att lyckas med brute force, även om jag inte kommer att kommentera kollisioner. Välj ditt algo/gift. :D