1 статья с этим тегом
Сброс пароля позволяет человеку, который не знает пароль, задать новый, — значит, это самостоятельный путь аутентификации. Сколько ни усиливайте вход, если сброс слабый, реальная сила аутентификации равна силе сброса. Пять типичных ошибок: угадываемые токены, токены без срока действия, ссылки, которые остаются в почтовом ящике, ссылки, адрес которых можно задать извне (заголовок Host), и ответы, раскрывающие, существует ли аккаунт. Главное при реализации — отделить то, что руководство требует, от чисел, которые оно оставляет вам.