CAPTCHA или ограничение количества попыток входа? [требует правки]

Ограничение количества попыток входа в аккаунт делается, к примеру, для того, чтобы нельзя было подобрать пароль брутфорсом. Попробуйте поставить чистый Wordpress, дайте ему прописаться в Гугле и через месяц посмотрите логи сервера - боты со всего мира ломятся в wp-login и xmlrpc.php.

Аналогичные вещи происходят со всеми популярными CMS, а вот почему в них на входе в админ-панель практически нигде не ставят капчу по умолчанию - это загадка, решение которой, вероятно, связано с удобством массового пользования ради меньшей безопасности.

Впрочем, для каждой популярной CMS рано или поздно появляются плагины или другие решения, затрудняющие проникновение роботов внутрь.

Капча создает некоторое неудобство для пользователя, поэтому ее включают как последний рубеж обороны. И в основном не на страницах входа, а на разных формах обратной связи.

Не знаю, где вы прочитали сказки про обход капчи ботами. По личному опыту: боты повалили на один из сайтов, поставил гуглокапчу - отрезало в ту же секунду и навсегда.