Recherche:

Je dis que c'est pas une page web

Non, t'es obligé de rien, mais si tu veux ajouter de la sécurité, c'est le minimum (pour le coup plutôt une solution basée sur PGP vu que c'est pas une page web).

Non, ce que je dis c'est que tu dois demander le salt au serveur (salt connu uniquement par le serveur et lié au login) et crypter le mdp côté client avec hash + salt.

Par contre est-ce qu'il...

Oui, c'est vrai si on considère uniquement l'application/site à protéger.
Mais si on considère le problème d'une vision plus large, en s'intéressant à la protection du mot de passe de l'utilisateur...

Si tu peux l'implémenter côté client c'est préférable bien entendu. Quoi qu'il en soit il faut utiliser une fonction de hashage avec un salt. Le seul souci de le faire côté client est que le salt...