Zerosquare (./28) :
Sauf que du coup, tous les hashes stockés en BDD deviennent invalides, donc le changement ne peut pas être automatique.

si : l'algo est stocké dans la chaine retournée par password_hash().

Quand tu as un mot de passe et que tu vérifie son hash (à l'identification d'un utilisateur, typiquement), tu fais ensuite appel à password_needs_rehash() pour voir si le mot de passe doit être re-haché (par exemple, parce que l'algo a changé).
Et si oui => tu stocke le nouveau hash (donc, généré avec le nouvel algo)