Viděl bych to takhle:
Noví uživatelé: silné heslo s porovnáním, aby nebylo jedno z těch často používaných.
To samé u stávajících uživatelů. tzn máte 3 měsíce na změnu hesla, po třech měsících omezit přístup dokud si nedají nové silné heslo heslo
Ve službách po 5 špatných pokusech o přhilášení captcha.