Согласен, что несколько уровней защиты – это действительно правильный подход. Самое главное — не забрасывать базовые вещи, типо HTTPS и нормального хеширования паролей. Лимиты и капча реально спасают от массовых ботов. Пока у меня на проекте включены все эти пункты, проблем не было. Вот только с 2FA пока опыта мало, но понимаю, что это серьезное усиление безопасности.