サイトがパスワードを使用していないことを意味するため。

メッセージだけで自動ログイン試行を防止できるため。

試行されたすべてのユーザー名が有効であることを確認できるため。

特定のユーザー名が存在するかどうかの漏えいを防げるため。