Шифрование паролей и HTTPS – это точно база. Капчу и лимиты на попытки тоже важно не забывать, особенно если лезут боты. Мне кажется, самый главный замес – делать сразу несколько уровней защиты, а не надеяться на одну штуку. Тогда шансы, что кто-то проломит форму, реально падают. И логирование не помешает, чтоб вовремя уловить проблемы.