Limite de tentativas no login: avise a pausa em vez de dizer "senha incorreta"
Implemente um limite de tentativas de login no servidor que diz que há uma pausa e quanto falta, sem revelar se a conta existe e sem trancar a pessoa de vez.
Blog
552 artigos. As categorias separam os assuntos; cada página mostra 12.
Política de senha NIST: regras obrigatórias e migração
A NIST SP 800-63B-4 vai além do tamanho da senha: lista de bloqueio com o nome do serviço, sem dica, sem truncar, NFC e um plano para largar a troca de 90 dias.
Autocomplete certo no login e no cadastro: o gerenciador de senha agradece
Use os tokens de autocomplete certos em login, cadastro, troca de senha, código por SMS e endereço, pare de bloquear colar e veja por que autocomplete="off" não protege ninguém.
Placeholder não é rótulo: o campo precisa dizer o que pergunta depois de preenchido
Ligue o rótulo ao campo, use placeholder só como exemplo, ponha instruções em texto de ajuda com aria-describedby e faça rótulo flutuante sem perder acessibilidade.
Teclado do celular cobrindo o botão de enviar: por que acontece e como resolver
Entenda viewport visual e de layout, tire o botão de enviar de position: fixed quando não precisa, use visualViewport quando precisa e teste com o teclado de verdade.
ADR na prática: registre a decisão de arquitetura e a alternativa que perdeu
Um modelo curto de registro de decisão (contexto, decisão, alternativas, consequências) guardado no repositório, para o time não refazer o mesmo debate daqui a seis meses.
Relatório de incidente sem culpado: como escrever um que muda o sistema
Linha do tempo, impacto, fatores que contribuíram e ações com dono e prazo. Um modelo de postmortem que procura o que o sistema permitiu, não quem apertou a tecla.
Alerta no Prometheus por SLO, testado com promtool
Alertas no Prometheus por orçamento de erro, testados com promtool contra pico, queda e erro parcial, e roteamento do Alertmanager conferido com amtool.
Domínio do cookie: login que some entre www e apex ou vaza para subdomínio
Entenda quando o cookie vale só para o host e quando vale para todo subdomínio, escolha o escopo certo da sessão e use o prefixo __Host- para travar.
Convite de equipe que expira, vale uma vez e pode ser cancelado
Como implementar convites com token aleatório guardado como hash, prazo de validade, aceite único e revogação, com exemplo em Node.js e MySQL.
"Esqueci a senha" sem limite vira máquina de spam com o seu domínio
Coloque limite por e-mail e por IP no fluxo de recuperação de senha, responda sempre a mesma frase, envie fora da requisição e monitore o volume.
Link de redefinição de senha: prazo curto, uso único e token que não vaza
Implemente o link de "esqueci a senha" com token guardado só como hash, validade curta, consumo atômico, proteção contra o leitor de links e queda das sessões.