Desde mi punto de vista ante todo debes proteger su Base de datos ante posibles ataques de inyección, piensa, para que sirve crear un sistema de login avanzado si después uno podría modificar fácilmente su Base de datos.  Para ello podrías usar [mysqli::prepare][1] o [PDO][2].

Si quieres saber más [como evitar la inyección SQL][3], te dejo esta pregunta con grandes respuestas en SOes.

En mi ejemplo utilizo `mysqli::prepare`, el principal y más esencial beneficio de las declaraciones preparadas es la eliminación de todos los peligros del formato manual.

Otro factor importante es el almacenaje de contraseñas seguras. En mi ejemplo utilizo [password_verify][4], para comprobar si la contraseña conciden, importante, cuando registras un nuevo usuario utiliza la función [password_hash()][5] para crear un hash de contraseña seguro (No utilice `sha1` o `md5`, ya que son vulnerables).

Mas información sobre [Almacenamiento de contraseñas PHP y MYSQL
][6] en SOes.

*Ejemplo crear un hash de contraseña:*

    $contrasena = password_hash($_POST['contrasena'], PASSWORD_BCRYPT);

> **BCRYPT**, siempre tendrá 60 caracteres.

**Ejemplo completo:**

Voy a poner un posible ejemplo a mi gusto respetando tu pregunta, ya que realmente estos factores son algo personal.

Desde mi punto de vista al primer intento mostrar el código captcha, podría ser incomodo, ya que un usuario se equivoca fácilmente el primer intento, en su caso lo he puesto en el 3 intento, aunque este valor se podría modificar como uno desea en realidad.

Compuse el sistema basándome en los siguientes puntos (probado en localhost):

 - 3 intento, mostramos el código captcha. 
 - 5 intento desactivamos el usuario mediante 15min.
 - En el intento 10, inactivamos el usuario hasta contactar con el
   administrador.
 - Seguridad en la Base de datos mediante sentencias preparadas.
 - password_hash, un hash de contraseña usando un algoritmo de hash
   fuerte de único sentido.

Lo del doble logueo, personalmente no lo veo cómodo para los usuarios, siempre hay que mirar la comodidad del usuario y en ocasiones depende la aplicación es más cómodo trabajar con dos sesiones abiertas en diferentes ordenadores, piensa que si uno realmente quiere podría también fácilmente, grabar la pantalla de su aplicación y dárselo a terceros XD.

Otro punto hay que tener en cuenta si se utiliza el `IP` para intentos fallidos, y existen más de un usuario, también quedarían desactivado mediante el mismo `IP` bloqueado, por este modo he utilizado el `id_user` para evitar problemas, así sabe diferenciar a cada usuario y bloquea al usuario en caso de estarlo, aunque utiliza otro `IP`.

*Base de datos*

    CREATE TABLE `fail_attempt` (
      `id_fail_Attempt` int(11) NOT NULL,
      `id_user` int(11) NOT NULL,
      `attempt` smallint(2) NOT NULL,
      `ip` varchar(100) COLLATE utf8_spanish_ci NOT NULL,
      `datetime` datetime NOT NULL
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_spanish_ci;

    CREATE TABLE `users` (
      `id` int(11) NOT NULL,
      `username` varchar(60) NOT NULL unique,
      `email` varchar(200) NOT NULL unique,
      `password` varchar(60) NOT NULL,
      `lastname` varchar(255) NOT NULL,
      `active` smallint(1) NOT NULL
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_spanish_ci;

    INSERT INTO `users` (`id`, `username`, `email`, `password`, `lastname`, `active`) VALUES
    (1, 'Daniel', '[email protected]', '$2y$10$IptiWEQlWuIZHPvl7wVXfele2nKi1ics9EuTzeHv29MT7KUZfYTGa', 'Bulten', 1);

> **Nota:** Para hacer pruebas la contraseña con hash `$2y$10$IptiWEQlWuIZHPvl7wVXfele2nKi1ics9EuTzeHv29MT7KUZfYTGa` equivale a `123` y deberás modificar el correo electrónico al suyo si uno quiere.

*index.php*

    <?php
      //Arrancamos sesión.
      session_start();
      //Comprobamos si esta iniciado sesión, caso contrario redirigimos al login.
      if (!isset($_SESSION['usuario'])) { header('Location:login.php'); }
    ?>
    <!DOCTYPE html>
    <html lang="es-ES">
    <body>
    	Bienvenido <?php echo $_SESSION['usuario']; ?>	
    </body>
    </html>

*conexion.php* (Estilo orientado a objetos).

    <?php
        //Configuración.
    	$ServerName = "Localhost";
    	$Username = "root";
    	$PassWord = "root";
    	$DataBase = "login_stackoverflow";    
    
    	//Creamos conexión.
    	$con = new mysqli($ServerName, $Username, $PassWord, $DataBase);
    
    	//Comprobamos conexión.
    	if ($con->connect_error) {
    		exit("La conexión fallo: " . $con->connect_error);
    	}
    
    	//Caracteres UTF-8 para MySQL.
    	if (!$con->set_charset("utf8")) {
    	    printf("Error cargando el conjunto de caracteres utf8: %s\n", $con->error);
    	    exit();
    	}
    ?>

*login.php* 

En mi ejemplo he usado en vede usuario el correo electrónico para iniciar sesión, ya que es unique como un usuario, aunque este valor es fácilmente modificable por usuario si uno desea.

    <?php
    	//Arrancamos sesión.
    	session_start();
    	//Caso estar iniciado sesión, redirigimos automatico al index.
    	if (isset($_SESSION['usuario'])) { header('Location:index.php'); }
    ?>
    <!DOCTYPE html>
    <html lang="es-ES">
    <head>	
    	<!-- Libreria jQuery. -->		
      	<script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>  
      	
    	<meta charset="utf-8" /><!-- Character encoding. -->
    	<script>
            //Controlamos dinámicamente los formularios login y captcha.
    		$(document).ready(function() {
    			//Formulario login.
    		    $(document).on('submit', '#login-form', function() {  
    		        //Data formulario    
    		        var data = $(this).serialize(); 		        
    		        $.ajax({        
    		            type : 'POST',
    		            url  : 'login_control.php',
    		            data : data,
    		            success :  function(data) {            
    		                $("#result-login").html(data);  
    		            }
    		        });		        
    		        return false;    
    		    });
    		    //Formulario captcha.
    		    $(document).on('submit', '#captcha-form', function() {  
    		        //Data formulario    
    		        var data = $(this).serialize();		        
    		        $.ajax({        
    		            type : 'POST',
    		            url  : 'capt_control.php',
    		            data : data,
    		            success :  function(data) {            
    		                $("#result-captcha").html(data);  
    		            }
    		        });		        
    		        return false;    
    		    });
    		});
    	</script>
    </head>
    <body>	
    	<?php				
    		//En caso estar activado la sesión del captcha, se ativa el formulario captcha.			
    		if (isset($_SESSION['captchaValidar']) && $_SESSION['captchaValidar']==true) {
    		?>
    			<h2>Verifica los caracteres del 'Captcha' para continuar</h2>
    			<form method="POST" id="captcha-form">	
    				<img src='captcha_code.php' />				
    				<input name='captcha_code' type='text' placeholder='Codigo captcha' />				
    				<button type="submit">validar</button>
    			</form>
    			<div id="result-captcha"><!-- Respuesta AJAX --></div>
    		<?php
    		} else { //En caso contrario mostramos el login.
    		?>				
    			<h2>Por favor, introduce tu correo electrónico y contraseña para comenzar.</h2>				
    			<form method="POST" id="login-form">							
    				<input type="text" name="correo" placeholder="Correo electrónico *" />
    				<input type="password" name="password" placeholder="Contrase&ntilde;a *" />	
    				<button type="submit">Inicia sesión</button>					
    			</form>
    			<br />
    			<div id="result-login"><!-- Respuesta AJAX --></div>		
    		<?php
    		}
    		?>		
    </body>
    </html>

*login_control.php*

    <?php
    //Arrancamos sesión.
    session_start();
    //Zona region. 
    date_default_timezone_set("Europe/Madrid");
    
    //Reseteo de variables.
    $msg = $correo = $password = NULL;
    
    //Definido formulario y no es NULL.
    if (isset($_POST)) {
    
    	//Inputs vacios.
    	if (empty($_POST['correo'])) {
    		$msg = 'El correo electrónico es obligatorio.';
    	} elseif (!filter_var($_POST['correo'], FILTER_VALIDATE_EMAIL)) {
    		$msg = 'El correo electrónico no es valido.';
    	} elseif (empty($_POST['password'])) {
    		$msg = 'La contraseña es obligatorio.';
    	} else {
    		//Obtenemos datos inputs.
    		$correo = $_POST['correo'] ?: '';
    		$password = $_POST['password'] ?: '';
    	}
    
    	//Datos son verdadero.
    	if ($correo && $password) {
    		
    		//Conexión -> SQL
    		require_once'conect.php';
    
    		//Comprobamos si existe usuario en la BD.
    		//Sentencia.
    		$stmt = $con->prepare("SELECT id,username,password FROM users WHERE email=? LIMIT 1");
    		//Ligar parametros marcadores, es decir, el valor ?, es decir email='$correo' y las "s", estamos diciendo que $correo es un string (cadena), si existen más, es importante su orden.
    		$stmt->bind_param("s",$correo);
    		//Ejecutar sentencia.
    		$stmt->execute();
    		//Devuelve el número de filas de un conjunto de resultados de una sentencia.
    		$stmt->store_result();
    		//Comprobamos si existen registros
    		if ($stmt->num_rows===1) {
    			//Ligamos los datos desde la BD.
    			$stmt->bind_result($id_user,$usernameBD,$passwordHASH);
    			if ($stmt->fetch()) {
    
    				//Comprobamos si el usuario esta desactivado  o tiene algun intento fallido, utilizamos el 'ID' del usuario y no su 'IP'.				
    				//Si se utiliza el 'IP', podria conectarse desde otro lugar aun que estaria desactivado el usuario, y en el caso que existen más de un usuario, quedaran tambien inactivo.
    
    				$stmtA = $con->prepare("SELECT attempt,datetime FROM fail_attempt WHERE id_user=? LIMIT 1");
    				//Ligar parametros marcadores.
    				$stmtA->bind_param("i",$id_user);				
    				//Ejecutar sentencia.
    				$stmtA->execute();
    				//Devuelve el número de filas de un conjunto de resultados de una sentencia.
    				$stmtA->store_result();
    				//Con esta variable sabemos si necesitamos un insert o un update, ya que si encuentra  0 registros es insert y si es 1 va ser un update.
    				$check_attempt = $stmtA->num_rows;
    				//Ligar variables de resultados BD.
    				$stmtA->bind_result($attempts,$getdatetime);
    				//Obtenemos valores.
    				$stmtA->fetch();	
    				//Cerrar sentencia.
    				$stmtA->close();
    
    				//Obtenemos IP.
    				$addres = $_SERVER['REMOTE_ADDR'];//Ip
    
    				//Mientras los intentos no supera a 11, continuamos con el login.
    				if ($attempts < 11) {
    					//Si existen 5 intentos fallidos, no continua con el login, sino esta en modo desactivado durante x tiempo.
    					if ($attempts==5) {
    						//Reseteo intentos a 6 pasado 15min., para continuar y evitar en este bucle.
    						if(strtotime($getdatetime) <= strtotime("-15 minutes")) { // -15 minutes podria ser -30minutes, -1hours, -dia etc...
    							//Sentencia.
    							$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?  WHERE id_user=? LIMIT 1");
    							//Ligar parametros marcadores (???, es decir, $attempt='$int' and $ip='$addres' etc...).
    							$stmtUp->bind_param("isi", $int,$addres,$id_user);
    							//valores parametros marcadores.		
    							$int = 6;//Inilizamos en 6 intentos.
    							//Ejecutar sentencia.
    							$stmtUp->execute();
    							//Cerrar sentencia.
    							$stmtUp->close();
    							//Eliminamos session inactivo
    							unset($_SESSION['inactivo15']);
    							//Alerta.
    							echo '<script>window.alert("Pasaron 15min., su cuenta ha sido activado");</script>';
    							//Redirigimos a acceder
    							echo '<script>window.location="login.php"</script>';
    						} else {
    							//Mensaje cuenta desactivado durante 15min.
    							$msg = "Tu cuenta ha quedado desactivado desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
    						}			
    					} else {
    						//En caso contrario continuamos con el login.
    
    						//Comprobamos password mediante la función password_verify.
    						if (password_verify($password, $passwordHASH)) {//Correcto, creamos la sesión del usuario.
    							//Creamos sesión al usuario.
    							$_SESSION['usuario'] = $usernameBD;
    							//Reseteamos intentos fallidos a 0.
    							if ($check_attempt===1) {
    								//Sentencia.
    								$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=?, ip=?, datetime=? WHERE id_user=? LIMIT 1");
    								//Ligar parametros marcadores.
    								$stmtUp->bind_param("issi",$reset_attempt,$addres,$datetime,$id_user);
    								//Creo valores marcadres.
    								$reset_attempt = 0;
    								//id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
    								//Adrres ya es obtenido anteriormente.						
    								$datetime = date('Y-m-d  H:i:s', time());
    								//Ejecutar sentencia.
    								$stmtUp->execute();
    								//Cerrar sentencia.
    								$stmtUp->close();
    							}
    							//Redirigimos a pagina protegida
    							echo '<script>window.location="index.php"</script>';
    							$msg = 'ok';
    						} else { //Contraseña incorrecto, añadimos intentos fallidos.
    							
    							if ($check_attempt===0) {						
    								//Insertar primer intento fallido.
    
    								//Sentencia.
    								$stmtIn = $con->prepare("INSERT INTO fail_attempt (id_user,attempt,ip,datetime) VALUES (?,?,?,?)");
    								//Ligar parametros marcadores.
    								$stmtIn->bind_param("iiss",$id_user,$attempts,$addres,$datetime);
    								//Creo valores marcadres.
    								//id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
    								//Adrres ya es obtenido anteriormente.
    								$attempts = 1;
    								$datetime = date('Y-m-d  H:i:s', time());
    								//Ejecutar sentencia.
    								$stmtIn->execute();
    								//Cerrar sentencia.
    								$stmtIn->close();
    							} else {
    								//Actualizar, es decir, incrementar intento fallido.
    								//Sentencia.
    								$stmtUp = $con->prepare("UPDATE fail_attempt SET attempt=attempt+1, ip=?, datetime=? WHERE id_user=?");
    								//Ligar parametros marcadores.
    								$stmtUp->bind_param("ssi",$addres,$datetime,$id_user);
    								//Creo valores marcadres.
    								//id_user ya lo hemos obtenido en la comprobacion si existe el usuario.
    								//Adrres ya es obtenido anteriormente.						
    								$datetime = date('Y-m-d  H:i:s', time());
    								//Ejecutar sentencia.
    								$stmtUp->execute();
    								//Cerrar sentencia.
    								$stmtUp->close();
    
    								//A no actualizar el navegador, incremento manualmente el attemp
    								$attempts = $attempts +1;		
    
    							}
    
    							//Mensajes contraseña fallidos.												
    							if ($attempts <=2) {
    								$msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';								
    							} elseif ($attempts==3) {//Activamos captcha.
    								$_SESSION['captchaValidar'] = true;
    								echo '<script>window.location="login.php"</script>';
    							} elseif ($attempts==4) {
    								$msg = 'Tu contraseña es incorrecto, te queda un intento más para desactivar su cuenta durante 15min.';
    							} elseif ($attempts==5) {//Inactivo 15min.
    								$_SESSION['inactivo15'] = date("H:i:s");
    								$msg = "Tu cuenta ha quedado desactivada desde las {$_SESSION['inactivo15']}, durante 15min., intentelo más tarde.";
    							} elseif ($attempts <=9) {
    								$msg = 'Tu contraseña es incorrecto, vuelva a intentarlo.';
    							} elseif ($attempts<=10) {
    								$msg = 'Tu contraseña es incorrecta, llevas 9 intentos fallidos, te queda un intento más, sino deberás ponerte en contacto con administración.';
    							} else {
    								$msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';
    							}							
    						}
    					}					
    				} else {
    				//Supera el maximo de intentos permitido, cuenta esta inactivo durante X tiempo.
    					$msg = 'Tu cuenta ha quedado desactivada, por favor ponte en contacto con [email protected] para activar su cuenta de nuevo.';							
    				}
    			} $stmt->close();
    		} else {
    			//Cerrar sentencia.
    			$stmt->close();				
    			$msg = 'El correo electrónico no existen en el sistema.';
    		}
    	}
    }
    //Respuesta Ajax
    echo $msg;
    ?>

*captcha_code.php*

> **Nota:** deberas crear dos carpetas `font/SpecialElite.ttf` y `img/captcha.png`, dicha imagen o fuente pueden ser personalizados a gusto de cada uno.

    <?php
    session_start();
    $random_alpha = md5(rand());
    $captcha_code = substr($random_alpha, 0, 6); // Numero total de caracters en el captcha
    
    $_SESSION["captcha_code"] = $captcha_code;
    $target_layer = imagecreatefrompng("img/captcha.png"); /// Fondo personalizado para el sistema de captcha.
    $textColor = imagecolorallocate($target_layer, 71,171,118); // Color de la fuente
    $lineColor = imagecolorallocate($target_layer, 255,255,255); // Color de las lineas del captcha
    $imageInfo = getimagesize("img/captcha.png"); // fondo de la imagen
    
    $linesToDraw = 40; // numero total de lineas en el captcha
     
    for( $i = 10; $i < $linesToDraw; $i++ )  {    	
        $xStart = mt_rand( 0, $imageInfo[ 0 ] );
        $xEnd = mt_rand( 0, $imageInfo[ 0 ] );    
        imageline($target_layer, $xStart, 0, $xEnd, $imageInfo[1], $lineColor );    
    }
    
    imagettftext($target_layer, 35, 2, 41, 50, $textColor, "font/SpecialElite.ttf", $captcha_code );
    
    header("Content-type: image/png");
    imagepng($target_layer);
    imagedestroy($target_layer); 
    ?>

*capt_control.php*

    <?php
    //Arrancamos sesión.
    session_start();
    //Zona region. 
    date_default_timezone_set("Europe/Madrid");
    //Reseteo de variables.
    $msg = $captcha_code = NULL;
    
    //Definido formulario y no es NULL.
    if (isset($_POST)) {
    	//Comprobamos que esten escrito correctamente los caracteres del captcha.
    	if ($_POST["captcha_code"]!=$_SESSION["captcha_code"]) {							
    		$msg = "<div class='dangerB font1'>Los caracteres escritos no coinciden con la palabra de verificación. Inténtalo de nuevo.</div>";
    	} else { //Caracteres coinciden.
    		//Destruimos la sesión.				
    		unset($_SESSION['captchaValidar']);
    		//Redirigimos al login.
    		echo '<script>window.location="login.php"</script>';
    	}	
    }
    //Respuesta Ajax
    echo $msg;
    ?>


> Estructura para hacer pruebas facilmente en `localhost`:

**RAIZ**<br />
font / SpecialElite.ttf ([font][7])<br />
img / captcha.png (dimensiones: 250x60 pixeles)<br />
capt_control.php<br />
captcha_code.php<br />
conect.php<br />
index.php<br />
login.php<br />
login_control.php<br />


  [1]: https://secure.php.net/manual/es/mysqli.prepare.php
  [2]: https://secure.php.net/manual/es/pdo.prepare.php
  [3]: https://es.stackoverflow.com/questions/18232/c%C3%B3mo-evitar-la-inyecci%C3%B3n-sql-en-php
  [4]: http://php.net/manual/es/function.password-verify.php
  [5]: http://php.net/manual/es/function.password-hash.php
  [6]: https://es.stackoverflow.com/questions/33420/almacenamiento-de-contrase%C3%B1as-php-y-mysql
  [7]: https://fonts.google.com/specimen/Special+Elite