Чисто из собственного опыта могу сказать, что простая ставка на https и ограничение по попыткам уже сильно поднимает планку безопасности. Аргон2 классный вариант для паролей, пусть и требует ресурсов, зато надёжно. Капчи действительно раздражают, но иногда без них никак — лучше чуть потерпеть, чем открывать дверь ботам. Ну и про общий ответ на ошибки — точно, это реально сбивает злоумышленников с толку.