Что это значит

Keycloak пишет событие LOGIN_ERROR на каждую неудачную попытку входа, а в поле error указывает причину:

Код Что значит
invalid_user_credentials неверный пароль
user_not_found нет такого пользователя ни в Keycloak, ни в подключённом каталоге
user_temporarily_disabled учётная запись временно заблокирована защитой от подбора пароля
user_disabled учётная запись отключена
cookie_not_found браузер не прислал cookie сеанса входа
expired_code форма входа устарела: страницу открыли давно
invalid_redirect_uri приложение просит вернуть пользователя на адрес, не разрешённый в настройках клиента

cookie_not_found встречается чаще остальных и озадачивает больше всех. Keycloak ставит cookie, когда показывает форму входа, и ждёт её обратно при отправке формы. Её нет, если форму открыли в одной вкладке, а вошли в другой, если браузер заблокировал cookie, или если Keycloak за прокси выдаёт cookie без Secure (Non-secure context detected) и браузер их не отправляет.

Как проверить

  1. Код ошибки, клиент (clientId) и адрес в событии.
  2. Для user_temporarily_disabled посмотреть настройки защиты от подбора в realm и заблокированных пользователей.
  3. Для массового cookie_not_found проверить, что Keycloak знает про HTTPS снаружи: issuer в /.well-known/openid-configuration начинается с https://.

Что сделать

  1. Единичные invalid_user_credentials и cookie_not_found считать нормой.
  2. Всплеск invalid_user_credentials и user_not_found с одного адреса похож на подбор пароля: проверить защиту и источник.
  3. Массовый cookie_not_found разбирать как ошибку настройки прокси или адреса Keycloak.