Стоит ли ограничивать допустимые символы в пароле?
Смотря где и как вы эти пароли будете использовать. Например, встроенная авторизация HTTP и SMTP не имеет возможности передать кодировку символа, и в ней в принципе не рекомендуется использовать не-ASCII символы. В IMAP используется UTF-7 в котором могут быть проблемы с передачей emoji. В SSH тоже могут быть проблемы с передачей не-ASCII символов в зависимости от типа терминала. Mac не дает вводить кириллические пароли в паролях очень много где, например для WiFi.
Что касается веб - ну представьте, пользователь зарегистрирует пароль с emoji а потом попытается с этим паролем войти через мобильный телефон, где просто не будет возможности его ввести.
больше набор символов - менее реально забрутфорсить.