sobre o qual eu estava certo o tempo todo:

De acordo com o manual do password_hash() função:

http://php.net/manual/en/function.password-hash .php