diff --git a/README.md b/README.md
index e40ee5ee..d5bcb283 100644
--- a/README.md
+++ b/README.md
@@ -73,7 +73,7 @@ CrossDesk 让你从电脑、浏览器、手机或终端连接远端电脑，也
 2. **发起连接。** 在另一台电脑的 CrossDesk 中输入被控电脑的 9 位 ID，点击“连接”；也可使用原生移动端或 [Web 客户端](https://web.crossdesk.cn/)。
 3. **验证密码。** 输入被控电脑当前的连接密码，等待远程画面出现。桌面端可勾选“记住密码”，后续从“近期连接”重连。
 
-使用自建服务器时，两端需要接入同一服务。新版桌面端使用设备密钥登录服务器，请先升级服务端：新 ID 注册时绑定公钥，旧 ID 首次升级时验证原密码后绑定；绑定后，针对该 ID 的错误密码尝试不会阻塞正常签名登录。远程控制仍需输入连接密码。身份备份与兼容要求见 [设备登录说明](docs/connection-architecture.md#41-id-模式)。更多连接、密码及浏览器操作见 [使用指南](docs/USER_GUIDE.md#quick-start)；连接失败、黑屏或无法操作键鼠时先查阅 [常见问题](docs/FAQ.md)。
+使用自建服务器时，两端需要接入同一服务。新版桌面端使用设备密钥登录服务器，请先升级服务端：新 ID 注册时绑定公钥，旧 ID 首次升级时验证原密码后绑定；绑定后，针对该 ID 的错误密码尝试不会阻塞正常签名登录。远程控制仍需输入连接密码；新版控制端也验证设备签名，密码失败按控制端及“控制端 → 目标”计数，不再累计被控端的总失败次数，避免他人的错误尝试锁住目标。身份备份与兼容要求见 [设备登录说明](docs/connection-architecture.md#41-id-模式)。更多连接、密码及浏览器操作见 [使用指南](docs/USER_GUIDE.md#quick-start)；连接失败、黑屏或无法操作键鼠时先查阅 [常见问题](docs/FAQ.md)。
 
 <a id="lan-direct"></a>
 
diff --git a/README_EN.md b/README_EN.md
index f69db445..51715412 100644
--- a/README_EN.md
+++ b/README_EN.md
@@ -73,7 +73,7 @@ Requirements follow the current source and build configuration. Check the releas
 2. **Connect.** On another computer, enter the host's 9-digit ID and click **Connect**. Native mobile clients and the [Web Client](https://web.crossdesk.cn/) can also connect.
 3. **Verify the password.** Enter the host's current connection password and wait for the desktop to appear. On desktop, select **Remember password** to reconnect later from **Recent Connections**.
 
-For self-hosting, both ends must use the same service. Upgrade the server before using the new desktop client: device login uses a private key, with its public key bound at registration or after a one-time password check for an existing ID. Once bound, wrong-password attempts against that ID cannot block valid signature login. Remote control still requires the connection password. See the [device login guide](docs/connection-architecture.md#41-id-模式) (Chinese) for identity backups and compatibility, the [user guide](docs/USER_GUIDE_EN.md#quick-start) for controls, or the [FAQ](docs/FAQ.md#english) for connection problems.
+For self-hosting, both ends must use the same service. Upgrade the server before using the new desktop client: device login uses a private key, with its public key bound at registration or after a one-time password check for an existing ID. Once bound, wrong-password attempts against that ID cannot block valid signature login. Remote control still requires the connection password. Signed controllers have separate per-controller and controller-to-destination failure budgets; failures from one controller no longer lock the destination for others. See the [device login guide](docs/connection-architecture.md#41-id-模式) (Chinese) for identity backups and compatibility, the [user guide](docs/USER_GUIDE_EN.md#quick-start) for controls, or the [FAQ](docs/FAQ.md#english) for connection problems.
 
 <a id="lan-direct"></a>
 
diff --git a/apps/desktop/src/gui/runtime/connection_runtime.cpp b/apps/desktop/src/gui/runtime/connection_runtime.cpp
index 907b8990..8d453576 100644
--- a/apps/desktop/src/gui/runtime/connection_runtime.cpp
+++ b/apps/desktop/src/gui/runtime/connection_runtime.cpp
@@ -709,7 +709,6 @@ int GuiRuntime::ConnectTo(const std::string& remote_id, const char* password,
         props->audio_capture_button_pressed_ = !background;
         memcpy(&props->params_, &params_, sizeof(Params));
         props->params_.user_id = props->local_id_.c_str();
-        props->params_.on_signal_exchange = nullptr;
         props->peer_events_ = std::make_shared<PeerEventHandler>(*this);
         props->params_.user_data = props->peer_events_.get();
         props->peer_ = CreatePeer(&props->params_);
diff --git a/apps/desktop/src/gui/runtime/device_login.cpp b/apps/desktop/src/gui/runtime/device_login.cpp
index 19ccb63c..0a4ab769 100644
--- a/apps/desktop/src/gui/runtime/device_login.cpp
+++ b/apps/desktop/src/gui/runtime/device_login.cpp
@@ -20,7 +20,6 @@ int DeviceLogin::Exchange(SignalExchangeStage stage, const nlohmann::json& messa
     password_.clear();
     request_ = message;
     const auto login = message.at("user_id").get<std::string>();
-    if (login.rfind("C-", 0) == 0) return 0;
     if (!identity) return -1;  // Never fall back when local key storage fails.
     const auto at = login.find('@');
     request_["user_id"] = login.substr(0, at);
@@ -44,7 +43,7 @@ int DeviceLogin::Exchange(SignalExchangeStage stage, const nlohmann::json& messa
     auto reply = request_;
     used_password_ = message.at("password_required").get<bool>();
     if (used_password_) {
-      if (id.empty() || password_.empty()) return -1;
+      if (id.empty() || id.rfind("C-", 0) == 0 || password_.empty()) return -1;
       reply["user_id"] = id + "@" + password_;
     }
     const auto transcript = nlohmann::json::array(
diff --git a/docs/connection-architecture.md b/docs/connection-architecture.md
index 05d8a285..ae6e8445 100644
--- a/docs/connection-architecture.md
+++ b/docs/connection-architecture.md
@@ -181,16 +181,16 @@ WSS 在连接成功后继续承担心跳和会话关闭消息。当前心跳约
 | 场景 | 登录身份及职责 |
 | --- | --- |
 | 本机常驻 Peer | 使用缓存 ID 和本地 Ed25519 私钥完成挑战签名，服务端按该 ID 绑定的公钥验签 |
-| 控制端会话 Peer | 以 `C-<本机ID>` 登录；目标设备的密码在后续 Join 中提交，不附加在该登录身份中 |
+| 控制端会话 Peer | 以 `C-<本机ID>` 完成同一私钥的挑战签名，服务端核对原 ID 的公钥；目标密码在后续 Join 中提交 |
 | 首次身份分配 | 无缓存身份时，以空 `user_id` 和本机公钥发起挑战；证明私钥持有权后，服务端原子分配 ID、远控密码并绑定公钥 |
 
 每次登录和重连都先请求 `login_challenge`，再签署规范 JSON 数组 `["crossdesk.device-login.v1", ID, 公钥, 随机挑战]`。挑战为 32 字节随机数，只属于当前 WSS 连接，有效期 10 秒，验证尝试时即消费。已绑定 ID 的签名登录不进入密码计算队列，也不读取密码失败计数；伪造签名不能锁定该 ID。服务端另外限制挑战来源和待处理数量，仍受连接及消息资源上限约束。
 
-旧 ID 首次升级时，客户端先完成签名证明，再按服务端要求提交原有密码；密码验证成功后仅允许绑定一次公钥，保留 ID 和密码。绑定后撤销旧重连令牌并拒绝密码登录，不能用密码覆盖公钥；尚未完成绑定的旧 ID 仍受原密码限流。部署时先升级服务端；新桌面客户端要求签名协议，不自动回退到旧服务端的密码登录。混部或回滚到忽略公钥绑定的旧服务端会失去这项保护。
+旧 ID 首次升级时，客户端先完成签名证明，再按服务端要求提交原有密码；密码验证成功后仅允许绑定一次公钥，保留 ID 和密码。绑定后撤销旧重连令牌并拒绝密码登录，不能用密码覆盖公钥；尚未完成绑定的旧 ID 按来源 IP 及“来源 IP → 目标 ID”限流，不保留目标 ID 的总失败次数。部署时先升级服务端；新桌面客户端要求签名协议，不自动回退到旧服务端的密码登录。混部或回滚到忽略公钥绑定的旧服务端会失去这项保护。
 
 MiniRTC 的可选 `OnSignalExchange` 回调提供登录请求替换、入站消息处理及回复发送能力，不包含设备密钥、可信名单或 CrossDesk 协议字段。应用层负责签名和协议状态；未配置回调的使用方保留原有登录及内存重连令牌行为。改密中断后，签名登录不代表待定密码已生效，客户端重发持久保存的改密请求，收到成功回复后才更新本地密码。
 
-连接目标设备时，控制端会话 Peer 仍将 `目标ID@目标密码` 放入 Join，由服务端返回成功、凭据错误、限流或繁忙结果。设备签名登录仅证明本机 ID 所有权，不授予控制其他设备的权限。
+连接目标设备时，控制端会话 Peer 仍将 `目标ID@目标密码` 放入 Join，由服务端返回成功、凭据错误、限流或繁忙结果。设备签名登录仅证明本机 ID 所有权，不授予控制其他设备的权限。服务端按已验证控制端 B 和“B → A”组合累计失败（分别为 20／5 次），不保留 A 的总失败次数；B 的失败不会触发 C 连接 A 的密码冷却。认证队列和计算额度也按已验证控制端隔离。未验证的旧客户端、Web／CLI 临时身份按来源 IP 处理，无法通过自称 `C-B` 获得 B 的预算。已绑定 B 的 `C-B` 登录必须支持签名协议；同一 NAT 下旧客户端仍共享 IP 限制，显式 IP 风控与服务器资源上限仍然适用。
 
 信令 TLS 与远控数据加密属于两条路径。原生远控的 DTLS 握手和 SRTP 处理位于 MiniRTC，不能把“信令使用 TLS”等同于“画面经 TLS WebSocket 传输”。