Ещё годный нюанс — проверять user-agent и ставить таймауты на капчу после пары неудач, чтобы автомат понты сблевал. И заголовок Content-Security-Policy реально помогает не дать сайту стать дырой для XSS, стоит настроить хотя бы базово. Чисто крипто — bcrypt с солью уже почти стандарт, и лучше сразу всё это правильно настроить, чем потом переделывать.