Token chỉ 6 chữ số (brute-force được). Token hiển thị luôn trên màn hình. Thông báo lỗi khác nhau lộ sự tồn tại của email trong hệ thống.