Кажется, проблема в том, что можно просто собрать список пользователей форума и затем устроить шторм запросов «Забыли пароль».
Может, добавим режим, где для использования функции «Забыли пароль» нужно ввести email в точности? «Строгий режим» для «Забыли пароль» — по умолчанию выключен?
Мне кажется, даже если нас троллят раз в неделю — это уже слишком. Мы не сможем решить эту проблему просто с помощью ограничения частоты запросов.