Si tu veux avoir un contrôle poussé sur les accès XML, le seul moyen que je vois est de passer par un module PHP.
L'utilisateur n'a pas de lien direct vers le fichier XML mais appelle une page PHP qui fait les contrôles nécessaires.

Eventuellement, si tu souhaites que les joueurs aient un accès direct au XML, tu peux peut être passer par le FTP. Tu n'as qu'à gérer les comptes FTP et générer les fichiers XML. Aux utilisateurs de se connecter et de récupérer les informations.
Par contre, via FTP, je ne sais pas si tu peux agir sur le nombre de "récupérations" sur une période donnée. Un script pourri pourra toujours lancer une récupération toutes les 2 secondes.