Login Attempts (anti-bruteforce): tentativi di autenticazione tracciati per IP.
Un IP con + fallimenti in min
(e nessun successo nelle ultime h) viene bloccato
con HTTP 429. Mostra solo tentativi su endpoint protetti (non login UI).