Barrapunto

Creo que el sistema no almacena las contraseñas en texto claro, cuando le das a recordar contraseña no te envía la misma en el correo. Aunque esto no prueba nada vamos a fiarnos de la palabra del desarrollador.

La mala práctica viene al enviar el sistema un correo reflejando la contraseña que el usuario acaba de renovar en un correo. Algo totalmente innecesario y una mala práctica en seguridad. No solo porque puede sniffarse pop3 o smtp (da igual el punto inicial o final). Además está el "shoulder surffing" o lo que es lo mismo, que un compañero de trabajo o alguien detrás tuya la vea.