Ich vermute, das Problem ist, dass man einfach ein Forum nach Benutzernamen durchsuchen und dann eine „Passwort vergessen“-Flut auslösen kann.
Vielleicht fügen wir einen Modus hinzu, bei dem man die E-Mail-Adresse exakt eingeben muss, um „Passwort vergessen“ zu nutzen – „Passwort vergessen (streng)“, standardmäßig deaktiviert?
Ich finde, selbst wenn wir nur einmal pro Woche getrollt werden, ist das schon zu viel. Wir können uns hier nicht einfach durch Rate-Limiting retten.