Форма авторизации — больная тема для многих. Кто-то ставит капчу, кто-то делает двухфакторку, а кто-то просто шифрует пароли. Лично я обычно ставлю TLS (https само собой), потом проверяю, чтобы пароли хранились в базе с нормальным хешем, а не просто в открытом виде. Еще добавляю ограничение по количеству попыток входа и иногда капчу, если ошибки идут с одного IP подряд.

Не помешает защититься от CSRF, например, через токены в форме. И на клиенте можно подстраховаться, чтобы пароли не сохранялись в кешах браузера.

Как вы подходите? Кто что использует для базовой защиты? Какие методы реально работают и не вызывают вопросов у юзеров?