сколько не удачных попыток login-а должно быть, что-бы account стал заблокирован?

а ты про наркотики поговори..

я думаю 5 раз будет достаточно , но при этом надо информировать человеко , о количестве попыток , и о том что-бы он проверил язык на котором он печатает =)

5 - катастрофически мало.
лучше около 15, т.к. для брутфорса это не сильно отличается от 5, для атаки по словарю, впрочем, тоже.
Если пользователь тупанул с CAPS'ом или не правильной раскладкой, то 5 может не хватить на осознание трагедии. для этого, кстати, можно добавить простенькую капчу.