Zeph (./5010) :
Après il suffit d'un petit délai de 5~10 secondes entre chaque tentative passée la 3ième pour rendre le bruteforce quasiment impossible sans t'impacter. Bloquer le compte plus longtemps n'ajoute pas grand-chose à la sécurité et te pénalise toi, c'est stupide je trouve, comme beaucoup de "mesures de sécurité" que plein de services semblent ajouter un peu au pif.

Ça ne marche pas forcément quand l'attaquant possède un vieux mot de passe, dont le nouveau est dérivé, ce qui n'est pas si rare (avec toutes les bases de mots de passe qui ont été diffusées).

Mais évidemment, ta méthode permet d'éliminer un bon 95% des attaques à vue de nez, voire plus. C'est déjà pas si mal