Совет от тестировщика 103/∞ : Ссылка сброса пароля должна умирать после использования.

Получили письмо, перешли по ссылке, поменяли пароль. Сохраните эту ссылку и откройте её ещё раз через час. Она обязана быть уже недействительной.