Главное — не забывать про HTTPS и лимиты на попытки. Без этого любые другие меры мало что дадут. CAPTCHA тоже помогает, но без нормального логирования и двухфакторки толку мало, особенно если боты лезут пачками. И хешируйте пароли правильно, иначе потом утечки превратятся в полный треш. Просто делать понемногу, но комплексно — вот что реально спасает.