Ha, ja zo had ik dat nog niet bekeken. Je kunt natuurlijk 2 seconden standaard inbouwen, én dan nog 2 of 3 extra bij een fout ingevoerd password. Dat lijkt me dan wel een effectieve manier.
Nog een andere reden. Brute force hackers proberen vaak ook aan de response van de server te zien of een poging is gelukt of niet. Als je dus hele duidelijke verschillen tussen een goede en foute poging geeft is voor de hacker heel makkelijk te achterhalen welke lukte en welke niet. De ideale manier is om bij mislukte en gelukte inlogpoging precies dezelfde response te geven. Dus even lange wachttijd, zelfde response headers etc.
