Требуется создать отказоустойчивый сайт, не столько от количества посетителей, сколько от деяний конкурентов(DOS/брут). Java EE+ORACLE DB это круто, но для такого проекта это слишком.

Пришёл к следующему:

• основной язык - python(по сравнению с РНР разница зачительна)
• БД - PostgreSql/MySQL(с постгри не знаком, но если есть реальное тогда вопрос отпадает)
• разделы, которые только для зрегиных юзеров(а регистрация закрытая) по SHTTP
• на формах каптча

какие будут советы? что то добавить\убрать\заменить?

Может стоит задуматься в первую очередь над топологией, а уж потом над технологией? 

Что Вы имеете ввиду? Можно конкретнее?

ToshaCh а чего ты именно боишься?? Взлома сайта? Взлома сервера?

От брутфорса спасает банальное ограничение по времени попыток авторизации.

Добавить грамотную проектировку.

Убрать мысли о том, что от нормального ддоса вас что-нибудь спасёт. Нормальный ддос положит канал. Если вам положили толстый канал, то трафик к вам будет блокироваться на уровне канальных операторов. А это значит что к вам достучаться можно будет только из локальной сети ДЦ где размещён сервер. Т.о. нормальный ддос - вам <рифма>дос.

Как вариант - это настроить зеркалирование данных между двумя серверами и путем ДНС перенаправлять запросы на резервный сервер при атаке или взломе основного сервера.
Несколько ссылок, как обеспечивается отказоустойчивость сайта либо отказоустойчивость сервера.

Ну если мне память не изменяет, то нету брутфорсов под SHTTP!

SHTTP нету. Есть HTTPS. все остальное вероятно.
Все зависит насколько богаты (и осведомлены) вы и ваши конкуренты.


вообще параллельно сабжу. Да и собственно как уже заметили


Это значит что не важно что будет на кластере крутится (PHP, Python, MySQL, PostgreSQL и т.д.) важнее сам кластер.


в чем? руки выпрямляет шибче?