Senha certa: o formulário e um `accessToken` de 2 horas, que vai no envio. Errada: 422 `passwordWrong`. No máximo 10 tentativas por IP e formulário em 15 minutos (429 `tooManyAttempts`). Somando todos os IPs, depois de 10 senhas erradas no formulário em uma hora o formulário não trava: cada nova tentativa de visitante passa a exigir a verificação ALTCHA (a mesma do envio: `GET .../challenge`, resolvida e mandada em `altcha`). Nesse estado o erro traz `challengeRequired: true` (sem `altcha`, 422 `accessChallengeRequired`; a 422 `passwordWrong` também avisa quando a próxima tentativa vai exigir), e o `GET` do formulário travado traz `challengeRequired`. Membro logado também resolve o ALTCHA quando o formulário aceita visitantes (só num formulário só para membros ele não resolve). Cada pessoa logada tem ainda 10 senhas erradas por formulário em 1 h; passado isso, só ela recebe 429 `tooManyAttempts` até a hora fechar. A senha não é de conta: ninguém entra na comunidade com ela.
