Crear un restablecimiento de contraseña seguro

Planifique el flujo para restablecer contraseñas.
Aplicación: [Aplicación]
Tecnología: [Tecnología]
Particularidad: [Particularidad]
Pasos: 1. Genere por cada solicitud un token aleatorio largo, guarde solo su hash y haga que caduque tras poco tiempo y tras un único uso. 2. Responda siempre igual, se conozca o no la dirección de correo, y limite las solicitudes por dirección y por red. 3. Envíe solo un enlace, nunca una contraseña, y explique en el correo qué hacer si no se ha pedido nada. 4. Tras fijar la contraseña nueva, cierre todas las demás sesiones y avise a la cuenta del cambio. 5. Defina qué se registra sin guardar tokens ni contraseñas. 6. Indique pruebas para enlaces caducados, reutilizados y manipulados.
Resultado: el flujo como lista numerada, campos de datos, texto del correo y casos de prueba. Marque las suposiciones como suposiciones.

Pon especial atención en no revelar nada que ayude a un atacante y hacer que cada enlace sea breve y de un solo uso.

Antes de responder, comprueba: ¿se cumplen todas las indicaciones? Si falta un dato importante o aún queda un marcador entre corchetes, pregunta en lugar de adivinar. Señala las suposiciones como tales.​