E foi então que mergulhei no código do WordPress. Confesso que fiquei horrorizado com o que me parecia uma baderna. Mas também me surpreendi, estupefato, com o fato de que o WordPress não usa Session - este foi um grande aprendizado, e eu admirei muito isso. Enfim, fui destrinchando a coisa até extrair de lá o código que lida com autenticação / autorização - incluindo a geração do hash. Juntei tudo numa classe, usei em alguns projetos, e recentemente transformei num package para o Laravel.
Porém, o peso-pesado da criptografia é realizado pelo "Portable PHP password hashing framework" (phpass).
Conhecendo apenas o necessário e suficiente sobre salt e chaves, mas mesmo sem saber os detalhes das profundezas sobre encriptação, sei que estou oferecendo aos meus clientes uma solução "top notch" - tão segura quanto a que é efetivamente usada pelo peso-pesado WordPress! :-)