Аутентификация

Так — Одно сообщение на неверный адрес и неверный пароль

«Неверная почта или пароль» расплывчато намеренно, и в расплывчатости весь смысл: оно не сообщает постороннему, у каких адресов есть аккаунты. Владельца аккаунта оно не путает — он знает, в чём из двух ошибся.

Так не надо — «Аккаунта с такой почтой нет»

Полезно человеку и ровно настолько же полезно тому, кто проверяет список адресов. То же и при регистрации: «эта почта уже занята» отвечает на тот же вопрос с другой стороны, и честная починка — сказать это письмом, а не на экране.

Так — Сказать браузеру, что это за поля

Контракт автозаполнения — то, что читают менеджеры паролей: имя пользователя для адреса, текущий пароль для входа, новый пароль при установке. Задан верно — менеджер заполнит форму; задан неверно — люди набирают по памяти, а пароль, набираемый по памяти, короткий.

Так не надо — Запрещать вставку или ограничивать длину

Запрет вставки в поле пароля не мешает никому: злоумышленник печатает, а человек с менеджером не может вставить. Короткий предел длины хуже: он сообщает, что пароль хранится способом, у которого есть предел размера, — а это не то, о чём стоит объявлять.

Так — Сказать, что произошло после многих попыток

Блокировка на несколько минут — нормально; молчание — нет. GrAlert несёт причину и, где применимо, когда пробовать снова. Человек, не знающий про ограничение, решит, что пароль неверен, и начнёт его менять.

Так не надо — Гасить кнопку, пока поля не выглядят верными

На форме входа проверять до отправки нечего — решает сервер. Погашенная кнопка не принимает фокус и ничего не объясняет, а человек остаётся проверять форму, которая и так заполнена правильно.