Ce qui change
Chaque vote est validé avec Google reCAPTCHA v3 : pas de grille locale, analyse de comportement en arrière-plan, score vérifié côté serveur.
Côté staff
- La clé secrète reste hors document root
- La clé site est publique (normale pour Google)
- Rate-limit IP + cooldown 24 h restent actifs