Twitter verwendet 400 für falsches Passwort, aber Facebook, LinkedIn, Google und Amazon geben 200 zurück. Meiner Meinung nach klingt 200 falsch, aber es scheint die „normale“ Sache zu sein?
Vielleicht können Sie mit einem Plugin beginnen, das sich in diese Methode hier einklinkt