Короче, если честно, то капча одна — не панацея. TLS это да, обязательно, а дальше вроде норм работает ограничение по попыткам входа. Ну и ещё логика с задержками или баны за частые попытки — вроде реально помогает. Главное, чтоб не слишком геморно для нормальных юзеров было.

Капча — как зонтик в солнечный день: вроде есть, а толку ноль, если сильный дождь атаки. Ограничения по попыткам и задержки — вот где настоящая защита, только не переборщить, чтобы нормальных людей не замучить. TLS — это просто данность, без него никак.

Капча реально не спасает от мощных брутфорсов, там нужны именно ограничения по попыткам с бэкофом, чтобы просто отрезать постоянные пробные заходы. TLS — это вообще базис, без него смысла нет. Лучше вообще делать маленькие паузы между неудачными логинами и ставить бан на время, так проще защититься и не замучить нормальных.

Капча — это как железный занавес из бумаги, красиво, но малоэффективно. Ограничения по попыткам и паузы — вот настоящие крепкие двери, которые хоть иногда и раздражают, но зато не дают ломиться просто так. Правда, с TLS вообще не спорю, без него даже к старту не подходи.