TLS и ограничение попыток — это базис, без них толку мало. Все эти капчи и двухфакторки работают только если сервер нормально хранит и проверяет пароли, иначе просто создают видимость защиты. Бэкенд решает.