Записывать атаки в журнал, но разрешать каждому запросу получать секрет.

Сделать сервис недоступным даже для корректно авторизованных локальных клиентов.

Повторить одну и ту же проверку токена четыре раза и назвать каждое повторение отдельным уровнем защиты.

Использовать несколько средств защиты на разных этапах отказа, чтобы сбой одного средства сам по себе не раскрывал секрет.