Limiter le débit des 401 répétés d'un même client #492

Contexte

Epic : #13
Securite-et-RGPD · API
Avant #475 (PR #480), un téléphone dont le compte venait d'être supprimé envoyait environ 8 GET /v1/me par seconde à l'API de staging (480 à 499 refus 401 par minute, constatés le 2026-10-15). #480 corrige le client, mais un ancien build resté installé, ou un autre client défaillant, peut reproduire ce débit. Découverte de CODE : Inbox.

À trancher (DESIGN)

Plafond par jeton ou par uid, plus bas que RATE_LIMIT_MAX, sur les 401 « Account deleted » et « Missing bearer token » : valeur, fenêtre, clé (jeton, uid, IP), réponse (429 avec Retry-After), journalisation ; à écrire dans la page API et Securite-et-RGPD.

Comportement attendu

Au-delà du plafond retenu, les requêtes répétées d'un même client refusé reçoivent 429 avec Retry-After, sans atteindre la base.

Critères d'acceptation

• Règle 🟢 dans le wiki (valeur, fenêtre, clé, réponse)
• Test : au-delà du plafond, 429 avec Retry-After, sans lecture en base ; un client authentifié normal n'est pas touché
• Revue OWASP dans la PR