**password_hash()** crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido. Si usas password_hash("hash", PASSWORD_DEFAULT); Estarás usando el algoritmo bcrypt que está predeterminado a partir de PHP 5.5.0 Por defecto es suficientemente seguro, aunque hay una manera mejor o más segura. A partir de PHP 7.2, Argon2 es parte de un método recientemente implementado (hashing) que ganó la competencia [Password Hashing][1], que ofrece un método más robusto, pero se deberá usar PHP 7.2 en adelante. Su [wiki][2] dice: > Argon2, es el algoritmo para generar hash de contraseñas recomendado > por la Competencia Password Hashing, es un algoritmo moderno para > contraseñas hash seguras. Argon2 aborda varias desventajas clave de > los algoritmos existentes en el sentido de que está diseñado para una > tasa de llenado de memoria más alta, y usa múltiples unidades de > computación efectivas a la vez que proporciona defensa contra ataques > de compensación. A diferencia de Bcrypt, que solo requiere un factor > de costo único, Argon2 se parametriza mediante tres factores > distintos: > > - Un costo de memoria que define el uso de memoria del algoritmo > - Un costo de tiempo que define el tiempo de ejecución del algoritmo y el número de iteraciones. > - Y un factor de paralelismo, que define la cantidad de hilos paralelos Para mas informacion puedes revisar el siguiente link: https://framework.zend.com/blog/2017-08-17-php72-argon2-hash-password.html Si actualizar a PHP 7.2 no es una opción, lo que se puede hacer es incrementar el costo . El costo por default usando BCRYPT es igual a 10, al aumentar el parámetro de costo en 1, se duplica el tiempo necesario para calcular el valor de hash. El parámetro de costo es el logaritmo (base-2) del recuento de iteraciones, lo que significa: $iteraciones = 2 ^ $costo; Por ejemplo: $hash = password_hash($password, PASSWORD_BCRYPT, ["cost" => 11]); [1]: https://password-hashing.net/ [2]: https://wiki.php.net/rfc/argon2_password_hash