Если пользователь пытается войти с несуществующим логином и паролем, какая ошибка должна вернуться с бэкенда на фронт?

Обычно API возвращает согласованную ошибку аутентификации с нейтральным сообщением «Неверный логин или пароль». Не следует раскрывать, существует ли конкретный аккаунт; точный статус определяется контрактом.

Часто используется 401, но веб-формы и отдельные API могут иметь иной документированный формат. Важно, чтобы клиент корректно показал ошибку и не получил внутреннюю трассировку. Сравнивайте поведение для неверного пароля и неизвестного логина, учитывая защиту от перебора. Не логируйте введённый пароль и не возвращайте его в теле ошибки.