Sicherheit

Passwort-Feld erlaubt Autocomplete ausdrücklich

Üblicher Schweregrad: niedrig · Aufwand: minimal

Woran du es erkennst

Ein Passwort-Eingabefeld trägt autocomplete="on" und erlaubt dem Browser damit explizit das Vorausfüllen gespeicherter Zugangsdaten.

Warum es zählt

Auf geteilten oder unkontrollierten Endgeräten (Lobby-PC, Familien-Tablet) kann so ein fremdes gespeichertes Konto vorausgefüllt werden. Aktuelle Browser wägen ohnehin selbst ab, wann sie Passwörter anbieten — das explizite "on" bringt keinen Nutzen, nur das Signal, dass hier niemand nachgedacht hat.

So behebst du es

  1. Bei Login-Formularen autocomplete="current-password" setzen — das ist die empfohlene, kontrollierte Variante.
  2. Bei Passwort-setzen-/ändern-Formularen autocomplete="new-password" verwenden, damit der Browser ein neues Passwort vorschlägt statt ein altes einzutragen.

Zum Nachlesen