Где хешировать пароль?
Не выдумывайте. Хэшируйте на бэкенде и начните уже использовать https. С приходом letsencrypt это проще простого.
Если вы хешируете на клиенте и передаёте на бекенд хеш, то чем этот хеш технически отличается от пароля? Правильно — ничем, это и есть пароль.
В 21 веке человечество придумало https, а не так давно Let's Encrypt сделал его доступным всем и бесплатно, так что не осталось никаких объективных причин не пользоваться https.