Двухфакторка — да, тема, но когда половина юзеров тупо не включает, толку мало. Реализация блокировки по IP — прям базовый минимум, но и она не панацея. Рекапча — для самых тупых ботов подойдет, а более умных можно по пальцам пересчитать. Шифрование пароля на клиенте — это оверкилл, HTTPS+серверный хеш лучше держать в голове. Про CSP не скажу, что прям чудо, но лишним точно не будет.