Distintos mensajes de error por correo electrónico / contraseña incorrectos

Esencialmente, esto se reduce a un equilibrio entre facilidad de uso y seguridad.

En el caso de Google y Facebook, se supone que prácticamente "todos" tienen una cuenta, por lo tanto, el riesgo de revelar qué dirección de correo electrónico se ha utilizado es mínimo. Minimiza las llamadas de personas que han escrito mal su dirección de correo electrónico. También utilizan métodos bastante avanzados para detectar inicios de sesión fraudulentos, con la capacidad de mostrar una lista de todas las sesiones conocidas, y la detección de inicios de sesión múltiples desde ubicaciones geográficamente distintas (por ejemplo, si inicia sesión desde el Reino Unido y los EE. UU. En una hora). sospechoso está sucediendo).

Sin embargo, para la mayoría de los sitios más pequeños, no existe esa suposición. La mayoría de las personas no tienen una cuenta en ningún sitio web dado, por lo tanto, la información que hacen se vuelve valiosa. En ese caso, puede ocultar razonablemente si alguien es miembro o no, dando un método de rechazo genérico. También puede enviar un mensaje estándar que diga algo como "Hemos enviado un enlace para restablecer la contraseña a la dirección provista - si no lo recibe en unos minutos, revise su carpeta de correo no deseado o verifique dos veces la dirección ingresada". No es necesario que exponga su lista de usuarios a través de pantallas de contraseña olvidadas.

Si los sitios más pequeños podrían asumir que "todos" tienen una cuenta, o ejecutar un conjunto completo de métodos de detección de fraude, como Facebook o Google, no sería un problema, pero el costo de ejecutar ese tipo La protección tiende a ser prohibitiva hasta que se alcanza una escala enorme. Los mensajes de error genéricos, por otro lado, son baratos y efectivos.