PHP сообщество

Вопрос в следующем:
При авторизации на сайт, ставлю счетчик на кол-во попыток.
Если их было более N раз, то хочу не впускать пользователя на 15 минут.
Как это правильно реализовать – хранить в БД ip или делать с помощью cookie.
Естественно делается это для защиты от сервера, на котором будет стоять программа перебора паролей.
Вопрос скорее вот в чем - если делать с помощью cookie, то программе с сервера можно как-то всучить cookie или они сохраняются только на простых компьютерах?
Заранее благодарен за ответ!