Если вы выполняете аутентификацию самостоятельно, у App Engine нет возможности узнать, что вы предоставляете, это форма входа, в отличие от чего-либо еще, поэтому у нее нет способа защитить себя от попыток грубого принуждения. В результате вам придется реализовать это самостоятельно.
В качестве альтернативы учетным записям Google следует учитывать встроенную поддержку OpenID. Серьезно подумайте об использовании одного или другого - ваши пользователи, скорее всего, будут плохо обслуживаться, если вы настаиваете, чтобы они создали еще одну учетную запись с нуля только для вашего сайта.