NPlay : Je vois ce que tu veux dire pour le sleep en lui-même, mais le concept de faire attendre un certain nombre de secondes entre chaque tentative reste une bonne protection non ?

À condition de pouvoir limiter le nombre de connexions simultanées, oui.

Dans le cas contraire, suffit lancer plein de connexions de manières asynchrones et d'attendre simplement que les premières se finissent pour regarder le résultat, d'autres ayant été lancées entretemps.

C'est sûr, mais si on drop toutes les requêtes faites moins de n secondes après la requête précédente ça rigole moins.

Personnellement j'ai mis en place un système pour contrer les attaques par déni de service par http.
Quand trop de requêtes proviennent de la même ip simultanément, elle est blacklistée pendant 1 heure, puis 10, etc jusqu'à ban def
Et un blacklist empêche l'accès à tout script modifiant les cookies/sessions etc ou accédant à la base de donnés.

Après ça exige de conserver sur le serveur toutes les connexions,
Et de faire la vérif à chaque actualisation,
Donc c'est plus couteux pour le serveur.

En plus j'peux stalker les 15-18-ards qui font les fous sur mon site

C'est quoi ton site

Tu ajoutes un token csrf et un délais et tu vas limiter la rapidité de l'attaque. Un blacklist car trop d'essais et tu ne risques rien.