Acho que o problema é que você pode simplesmente rastrear um fórum em busca de nomes de usuário e depois iniciar uma tempestade de ‘esqueci minha senha’ para trollar.
Talvez possamos adicionar um modo em que seja necessário digitar o e-mail exatamente para acessar a função de ‘esqueci minha senha’, chamado ‘esqueci minha senha estrito’, desativado por padrão?
Acho que até mesmo ser alvo de trollagem uma vez por semana é demais; não conseguimos resolver isso apenas com limitação de taxa.