Barrapunto

Ok. No me había parado a ver el segundo correo (usaba la cuenta de correo que uso para el spam).

Entonces lo que sucede es que:

1) La contraseña no se guarda en claro, de ahí que no se pueda recuperar, sino que te obliguen a cambiarla. Esto está bien hecho.

2) Una vez cambias la contraseña, no la guardan, pero antes de terminar de procesarla te envían un correo. Esto en mi opinión es donde hacen una mala práctica, porque la contraseña viaja en claro pudiendo quedar en logs de correo o verse en algún punto intermedio por donde pase el mensaje. La contraseña sólo debería viajar entre ordenadores para identificarse o cambiarla, y hacerlo por protocolo seguro.

Parece que ya sabemos cuál es el origen de la noticia :)