Mientras uses TLS, las contraseñas se envían cifradas. Si no estás usando TLS, vas a toda velocidad hacia el desastre, sin duda.
Si te referías a “hasheada” en lugar de “cifrada”, entonces no, esa no es una configuración admitida, porque el mecanismo de hashing utilizado dentro de Discourse no forma parte del contrato de la interfaz pública y puede cambiar en cualquier momento.
Bueno, sí, pero si alguien tiene acceso a tu portátil, simplemente puede instalar un keylogger que capture la contraseña antes de que pase por cualquier proceso de hashing. El modelo de amenazas de seguridad de Discourse (y de cualquier aplicación web) incluye la premisa de que el punto final no está comprometido.