Presto, а полностью можно?

Короче:
Как лучше реализовать ограничение попыток ввода неправильного пароля ?
Пример: если клиент 5 раз при ввёл неправильный пароль, то ему присваивать $_SESSION['moshennik']=1; и после этого клиент не имеет права вводить пароль в течении 5 минут. Правильно ли? Или лучше использовать что-то другое?



Помоему так?
if(сессия > 3){
запрос капчи
if(капча правильная){
if(проверка пароля и логина, запрос к базе данных){
авторизован впускаем, и удаляем сессию
}else{
не авторизован, делаем сессии ++
}
}else{
капча не правильная
}
}else{
if(проверка пароля и логина, запрос к базе данных){
авторизован впускаем, и удаляем сессию
}else{
не авторизован, делаем сесии ++
}
}