Відсутня

тимчасова мітка закінчення терміну дії токена в самому токені

Посилання

не використовує HTTPS явно, піддається атаці downgrade

Токен не

прив'язаний до сесії браузера, що дозволяє використовувати його з будь-якого

пристрою

Токен детермінований і не містить випадкової солі, що дозволяє зловмиснику

підібрати user_id і згенерувати валідні посилання для скидання будь-якого

пароля.