Twitter возвращает 400 при неверном пароле, а Facebook, LinkedIn, Google и Amazon возвращают 200. На мой взгляд, 200 звучит неправильно, но, похоже, это «стандартное» поведение?
Может быть, стоит начать с плагина, который подключается к этому методу здесь: