[fonji]

Ben au final, évidemment que c'est du html, mais ça m'étonnerai qu'ils laissent ton code passer comme ça (en général c'est typiquement le genre de chose qu'on empêche sur ces systèmes)...
Quant aux images, aucune idée...

[KnuX]

L'injection de code html/javascript n'est pas possible et dans tous les cas non autorisé.

[Samva]

Une image avec une url en .php permettrait de récupérer l'IP en générant une image correcte, bien évidemment ca ne permettra que de la récupérer et en aucun cas de filtrer l'acces (ou alors faudrait être bourrin et générer une image de dimensions pas honnêtes mais c'est uniquement dissuasif et pas du tout efficace réellement).