Не уверен, что все эти меры дают стопроцентную защиту. Ограничение попыток и капча — да, это базовые штуки, но прокси и боты всегда найдут обход, если настроек мало. Двухфакторка — полезно, но часто ленятся её включать. Смена URL помогает только от массовых ботов, но не от целевых атак. В общем, тут скорее нужно комплексно подходить, учитывая, что стопроцентного щита не существует.