Согласен с тем, что главный упор лучше делать на базовые вещи — правильную настройку сервера, обновления и защиту от брутфорса. Без этого любые приколы вроде двухфакторки и капчи мало что дадут. И не забывайте про нормальное хеширование паролей, иначе вся защита получится дырявая.