Backend: Fehlermeldung bei falschem Login

Hallo zusammen,

ist es möglich, dass die Sperrung des Benutzerkontos bei mehreren Fehlversuchen zwar aktiviert ist, dies jedoch nicht als Fehlermeldung ausgegeben wird?

Das Problem ist, dass man daran ja erkennt, dass es diesen Benutzer gibt. Versucht man, sich mit nicht existierenden Benutzernamen mehrmals einzuloggen, erhält man diesen Hinweis nicht und weiß somit, dass es den Benutzernamen auch nicht gibt.

Es reicht ja nicht, die Fehlermeldung zu ersetzen, weil man das dann ja in allen Sprachen, in denen das Loginformular aufrufbar ist, machen müsste, oder?

Hat hier jemand eine Idee, wie ich das umsetzen kann? Danke!

Viele Grüße
Fwac.

Die betreffende Fehlermeldung lautet:
"Das Konto wurde gesperrt! Sie können sich in 5 Minuten erneut anmelden."

Wer hindert Dich grundsätzlich dran (außer dem Aufwand), dass für Dich in allen Sprachvarianten anzupassen? Wobei der Aufwand ja auch nicht so groß sein dürfte, wenn man die Sprachanpassung mit einem leeren String macht oder habe ich Dein Ansinnen möglicherweise falsch verstanden.
Ich persönlich würde es nicht gut finden, wenn es diesen Hinweis nicht gibt, denn dann ist völlig unklar warum man sich nicht Einloggen kann.

Puh, ich bin mir nicht sicher ob das wirklich ein Vektor ist, der eine Rolle spielen könnte. Anders als bei anderen Systemen ist der Username im Regelfall nicht aus dem Frontend abzuleiten - es sei denn, jemand setzt diese Werte mutwillig, so dass der Benutzername = Name ist und vielleicht bei News etc. sichtbar.

Auf der anderen Seite muss man bei Fehlversuchen sperren, und so weit ich weiss wird / wurde das gerade auf IP-Adressen umgebaut. Vielleicht ist es eine Idee, nur anzuzeigen, dass der Login gesperrt ist, und zu den Gründen schlicht nichts zu sagen. Die erste Meldung zu Gross-/Kleinschreibung sagt da ja nix aus und ist als allgemeiner Hinweis zu verstehen.

Aber schon recht: Man sollte nichts öffentlich zeigen was man nicht zeigen will.

Vielen Dank für eure Antworten.

Ich persönlich finde es auch nicht gut, wenn die Fehlermeldung nicht aussagekräftig ist, aber der Sicherheitsbeauftragte meines Kunden sieht es (ja auch nachvollziehbar) anders.

Man könnte ggf. von den Namen der Mitarbeiter auf Benutzerkonten schließen, deshalb soll der Text in beiden Fällen gleich sein. Ich erstelle nun tatsächlich pro Sprache eine neue Fehlermeldung für "accountLocked" mit dem Text der normalen Fehlermeldung beim gescheiterten Loginversuch.

Viele Grüße
Fwac.

Kannst ja mal ein Ticket machen.