[PHP] Ist dieses Loginscript gut und sicher?

[Cyperfriend]

Ich habe jetzt folgende Abfrage zur Session. Ist diese so OK, oder gibt es Protest?

if($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'] || $_SESSION['term'] <= time()){
	# Fehlercode (3 == "Session ungültig")
	$_SESSION['code'] = 3;
	header ("Location:  http://".$_SERVER['HTTP_HOST']."/neu/index.html");
}

 

[Shodan]

Was ich etwas seltsam finde:
Du hast dich trotz der erwähnten Best-Practice dem User nur zu verraten, ob die Name-Password Kombination falsch war, dafür entschieden dort zwei Fehlercodes zu vergeben,
fasst dann aber hier die zwei Ungültigkeitsbedingungen ip-missmatch und timeout zu einem Fehler "Code 4: Session ungültig" zusammen.

Den timout Hinweis beim login empfinde ich "qualifizierter User" als sehr höflich. Die ip-missmatches könnte man loggen, vielleicht trifft man ja einen Wechselbalg