パスワード、セッション、ログインロック

忘れたパスワードのリセット

1. 01/forgot-password を開き、アカウントのメールを送信します。
2. 02メール内のリセットリンクを開きます。有効期限は1時間です。
3. 03新しいパスワードを決めます。既存のセッションはすべてログアウトされます。

プライバシーのため、アドレスにアカウントがあるかどうかに関係なく応答は同じです。画面に何も出なくても、アドレスが間違っているとは限りません。

失敗が多すぎる場合

ログイン失敗が5回続くとアカウントは短時間ロックされ、以降の失敗ごとに待ち時間が倍増します（30秒から最大15分）。エラーに待ち時間が表示されます。ロックは自動で解けます。待ちのあとの成功ログインでカウンタはリセットされます。

他の端末からログアウトする

設定には「他の端末からログアウト」があります。トークン版を上げ、今使っているもの以外のセッションクッキーを即座に無効にします。パスワード変更・リセット、メール変更の確認も同じ効果です。

セッションは14日間有効な httpOnly クッキーに保存されます。ブラウザのクッキーを消すと、この端末のセッションだけが切れます。