Главное — не париться только над внешними штуками типа капч и двухфакторки, а сделать нормальный TLS и ограничить попытки входа. Без правильной хэшировки паролей на сервере вся эта защита мало что даст. В итоге всё упирается в надёжный бэкенд, а не только в красивые формы и фронт.