Immagino che il problema sia che si può semplicemente fare lo scraping di un forum per ottenere gli username e poi scatenare un’onda di richieste di recupero password per trollare.
Forse potremmo aggiungere una modalità in cui è necessario inserire l’email esattamente per attivare il recupero password: ‘Recupero password rigoroso’, disattivato di default?
Penso che anche essere presi di mira una volta a settimana sia troppo; non possiamo risolvere questo problema limitando semplicemente il tasso di richieste.