no es eso a primera vista...
 
el error es que estas usando ajax de forma sincrona lo que se considera obsoleto, muestra tu script de js donde aplicas el ajax

$.ajax({
			url: 'ajax/resend_mail_recovery.php',
			type: 'POST',
			dataType: 'html',
			data: {id_user, page},
 
			success: function()
			{
				$(document).ready(function()
				{
					document.body.style.cursor = 'default';
					document.getElementById('modal_show_loading').style.display = 'none';
				});
			}
		})
 
		.done(function(results)
		{
			$('body').append(results);
		})
 

a la sesion agregale un tiempo y si se accede y el tiempo está vencido, la destruyes... es la forma segura... tambien puedes darle vencimiento a la cookie, pero ya sabes como son las cookies

no si quiera es necesario js, solo abres la consola de crome (f12) vas a la ppestaña aplicacion, de allí vas a la izquierda cookies y las puedes editar

si, todo lo que no quieres que el usuario te pueda joder malintencionadamente, lo metes allí

Con document.write(document.cookie) ves las cookies del sitio. Y con document.cookie="intentos=0" creas la cookie.

Puedes hacerlo directamente desde la barra de direcciones del navegador usando el pseudo protocolo de javascript.
javascriptDOSPUNTOSalert(document.cookie)

javascriptDOSPUNTOSdocument.cookie="intentos=0"

Cambia DOSPUNTOS por :
Te lo escribo así porque salta el WAF del foro y no me deja publicar el mensaje.

El usuario siempre tiene 100% control del cliente, hagas lo que hagas.
O mejor dicho, el usuario siempre tiene 100% control de los datos que te envia. Nada de lo que hagas en el cliente vas a poder confiar en ello. Asique la seguridad debe estar siempre del lado del servidor. Puede que el usuario de tu aplicacion ni siquiera use un navegador.
Puede mandarte las peticiones escritas a mano. Asique si por ejemplo ocultas un formulario en el cliente, o no lo añades, pero en el servidor lo aceptas, pueden crear dicho formulario y enviárte el POST.