Все правильно подметил, особенно про общий ответ на ошибки — реально сбивает с толку. Капчи раздражают, но иногда без них совсем никак, если боты жёстко лезут. По паролям — Argon2 сейчас реально топ, и не жалко крутить его, если нет критичных ограничений по серверу. Только учти, что лимиты на попытки лучше делать не только по IP, а ещё по учётке и устройствам, чтобы не словить ложный блок.