Segurança
Coleção catalogada é informação de valor: diz o que você tem e, junto com um perfil público, pode dizer onde. Levamos isso a sério.
Sua conta
Senha guardada como hash com bcrypt, nunca em texto. Sessão em cookie que o JavaScript da página não consegue ler. Trocar a senha derruba as sessões abertas em outros aparelhos, que é o que você quer quando desconfia que alguém entrou.
Verificação em duas etapas
Um código do seu celular, além da senha. É o padrão TOTP, o mesmo do Google Authenticator, do Authy e do Aegis: você escolhe o aplicativo. Ligar entrega dez códigos de recuperação para o dia em que o celular sumir, e desligar exige a senha e um código, para que ninguém desligue a tranca por você.
Contra abuso
Limite de tentativas por endereço e por e-mail no login e na recuperação de senha, para que ninguém teste senha em massa, com um atraso que cresce a cada erro: para quem digita não muda nada, para quem varre uma lista de senhas acaba o negócio. Contagem de contas por conexão, que é como se descobre fábrica de conta falsa. O endereço real de quem acessa é lido do proxy, e não aceito como o visitante disser. E a resposta é sempre a mesma para e-mail que existe e para e-mail que não existe: esta tela não conta para ninguém quem tem conta aqui.
Achou uma falha?
Escreva para hadoukencursos@gmail.com com o que você encontrou e como reproduzir. Pedimos só uma coisa: não use a falha em conta de outra pessoa e nos dê tempo de corrigir antes de tornar pública. Quem avisa direito é creditado, se quiser.