Ограничение попыток входа: по каким критериям?

Посторонним В.: но если к примеру человек ошибается в логине, например, символом, выходит - он может бесконечно грузить твой сервак, а никого так и не забанит. Тут все же стоит подумать об IP, но это не панацея, может еще куку использовать, вешать ее на клиент при заходе на сайт, если куки нет, значит он каким-то диким образом пытается получить доступ и блочим его, предварительно записав IP в бд. Куку надо будет обязательно шифровать, чтобы не подмешали. Также, насколько мне известно, с этой задачей хорошо справляются сессии, так мы можем связать между собой попытки входа. А блочить пользователя по логину - не выход, выходит можно заблочить всех твоих юзеров, зная логины, небольшим брутом.