Капча реально не спасает от мощных брутфорсов, там нужны именно ограничения по попыткам с бэкофом, чтобы просто отрезать постоянные пробные заходы. TLS — это вообще базис, без него смысла нет. Лучше вообще делать маленькие паузы между неудачными логинами и ставить бан на время, так проще защититься и не замучить нормальных.