Nagyjából szerintem mindenütt ez lehet a módi. Ha emailben küldenek is valamilyen jelszót, az önmagában (+beleértve az azonosítót is) nem szabadna, hogy elég legyen a belépéshez.