- Se descapó
- 5 de septiembre de 2026 a las 0:16 UTC
- Autor
- Kamo
- Compromit
- 50cfdb0
El servidor ahora rechaza los inicios de sesión en una escalera y cinco intentos gratuitos, luego cinco segundos, luego se bloquean de cinco, quince y treinta minutos, luego un bloque permanente. Sin nada de esto, la pantalla respondería todo eso con "Nombre de usuario inválido o contraseña" y un botón que en silencio no hace nada, que se lee como el sitio estar roto en lugar de como un control de seguridad funcionando. Cuatro estados, y las diferencias entre ellos son el diseño: Un METER STRIKE aparece bajo el campo de contraseña una vez que los fallos comienzan acumularse, decir cuántos intentos quedan antes de firmar en pausas y para Cuánto tiempo. Alguien que realmente ha olvidado su contraseña debe ser empujado hacia el enlace de reinicio ANTES de que estén bloqueados, no después. La espera de cinco veces se mantiene en línea: el botón Iniciar sesión se convierte en una cuenta repuesta con un barra drenando a través de ella. Tomar la forma y volver a ponerlo por cinco Los segundos serían más perturbadores que la espera. Una LOCK OF MINUTES se hace cargo de la tarjeta de un anillo que vacía, una cuenta repuesta de mm:ss, y una escapada de contraseña, porque por el décimo fracaso la contraseña es olvidados en lugar de mal escribir y la recuperación es una puerta que este cierre no cerca. Se OVERLAYS la forma en lugar de reemplazarla: los campos permanecen montados y desactivado para que un gestor de contraseñas a mitad de lleno no pierda su objetivo. Un BLOCK no tiene cuenta atrás, sin anillo y sin reintiendo. An animación que implica que algo viene cuando nada es mentira contada despacio. Dice que la cuenta no es lo que se bloqueó, porque eso es Verdadero y es lo primero que la persona querrá saber. Aquí no hay política. El navegador es dueño de la cuenta regresiva y nada más . copia de la escalera en código cliente es una copia que un atacante puede editar y una copia que A la deriva el momento en que cambia de lado. Este repo ha sido mordido exactamente por eso antes: el control de la regla de acceso al nodo comparó los tipos de reglas con "lista blanca" mientras El editor escribió "WHITELIST", no coinició con nada, y nadie se dio cuenta. Así que la API Rutas retransten los números del servidor intactos, incluyendo la reenvío 429 como a sí mismo en lugar de colallarlo en 400, lo que reportaría "mala petición" de un respuesta cuyo contenido es cuánto tiempo esperar. Un bloqueo no sacuda el campo de contraseña ni selecciona su contenido. El sacudido "usted mecleó la contraseña equivocada", y durante un control la contraseña nunca fue Mirando el campo culparía al campo estaría culpando a la cosa equivocada. Los cuatro estados entregados y leídos de vuelta con titultero contra servidor enlatado responde, porque una construcción verde no demuestra nada sobre cómo se ve una página. Reducción La moción se cumple explícitamente; la moción/recapacitado no la honra por sí sola.