En hoeveel pogingen heb je, bij 1.000.000 mogelijke wachtwoorden ? De vraag of het onder de maat is, is daar erg van afhankelijk, net als de vraag of gemakkelijke wachtwoorden (123456, 111111 e..d.) wel/niet zijn toegestaan. Hoeveel pogingen je via de website hebt is niet zo interessant. Het is verstandiger uit te gaan van een scenario met oneindig veel pogingen. Immers, lijsten van password hashes worden aan de lopende band gestolen, zo lijkt het wel de laatste tijd. Als iemand zo'n lijst in handen krijgt, dan zijn 1.000.000 mogelijke wachtwoorden gewoon in een sekonde ofzo allemaal uit te proberen. Het verbaast me dat je geen opmerkingen maakt over de vraag wat voor security controls er verder al dan niet gebruikt worden. Nou, met zulke slechte wachtwoorden was ik me stilletjes aan het afvragen of ze eigenlijk de PINs ook nog wel hashen... en het zou me eigenlijk niks verbazen als ze zelfs dat al niet deden. Maar daar wou ik niet meteen over beginnen - meerdere kwesties tegelijk aankaarten blijkt soms ...