Connexion sécurisée pour un espace membre [Résolu]

Pour empêche les essais intempestif tu met un compteur d'essai que tu incrémente a chaque essai raté.

Si tu arrive a 3 par exemple, tu redirige ta page automatiquement vers une page d'erreur.

Pour l'incrément, tu peux stocké ta variable en session ou l'adresse Ip de la personne qui tente.

J'ai codé un script qui, au bout de 5 essais foirés affiche un captcha en plus dans le formulaire de connexion.

Le nombre de connexion est incrémenté, comme tu me l'as conseillé, dans une variable de session...

je n'ai pas voulu me servir des cookies => trop simple à effacer
ni d'un script appelant de la BDD => trop de requetes je trouve

Les variables de sessions sont-elles fiables ? Je veux dire, un bot arrive, fait 5 essais. Il doit ensuite rentrer un captcha, mais y'a-t-il un moyen pour lui de reinitialiser ces variables de session (et du coup remettre le compteur à 0) ? Je ne m'y connais pas assez en php pour répondre à ce problème. Pouvez-vous m'aider ?

Je viens de trouver un problème avec mon système.

Le bot doit avoir un compte.
Il fait 5 essais avec le pseudo d'un membre. Si il n'a pas encore trouvé le mdp il se connecte avec son compte puis se déconnecte (=> les SESSION s'effacent).
Du coup le compteur est reparti à 0 et le bot peut tranquillement recommencer sa boucle jusqu'à trouver le mdp du membre.


Peut être que la solution appelant une BDD n'est pas si mal finalement. Je pourrais faire en sorte qu'un utilisateur ait 10 tentatives par jour. Ce serait suffisant pour lui et cela bloquerait tranquillement tout bot du type bruteforce ?

Je reviens une nouvelle fois !

Après avoir pensé un certain nombre de solutions, je pense avoir trouvé la meilleure et sans que cela emmerde les membres (captcha quoi).
Plutôt que de connecter les membres avec leur pseudo (que tout le monde peut voir), je vais simplement leur demander une adresse mail ! Mail qui leur est personnel et que je vais hasher (et saler) dans ma BDD !

Ainsi, le bruteforce va devoir tenter un nombre incalculable de combinaisons pour trouver le login ET le mot de passe. Autant dire qu'il s'arrêtera avant :)

J'espère avoir au moins aidé quelqu'un avec ce monologue !

Merci ^^