que debo tener en cuenta para tener un login seguro?

Usa HTTPS. Así, una persona que capture la petición no podrá ver los datos enviados por el usuario, puesto que estarán cifrados.

Tampoco obligues al usuario a crear contraseñas demasiado complejas. Dale algo de libertad. La extensión mínima recomendada para una contraseñas es de 12 caracteres, pero no hace falta que tenga mayúsculas, minúsculas, números, símbolos, etc.

Cifra las contraseñas con un cifrado fuerte de un solo sentido. Al cifrar las contraseñas, agrégales un hash, de forma que la cadena a cifrar sea `contraseña del usuario + cadena de caracteres aleatoria`.