Не всё так просто с защитой формы. HTTPS и хеширование паролей нужны, это понятно, но потом идут всякие токены, капчи, 2FA — и всё это надо правильно настроить, иначе толку мало. Многие делают вид, что достаточно одного из пунктов, а ведь атаки бывают разные, и пока не соберёшь вместе несколько уровней защиты, безопасность будет дырявой. Так что просто чек-листы не спасут без понимания и проверки.