si infatti meglio SHA1.

cmq... quindi nei cookie del login.... ne creo 2 e in uno metto l'username (codificato anche questo o posso metterlo in chiaro)
e nell'altro metto la password codificata?