Como dito acima por @Stephen e @mcdanlj, impor isso não é mais a prática de segurança mais avançada, então não exigimos isso.
No entanto, se você quiser controle total sobre o processo de login do Discourse, você pode delegar a autenticação a um serviço web sob seu controle utilizando o DiscourseConnect.