php sicherer Login

[TS]

Hallo und guten Tag,

Ich hinterlasse deshalb hier nochmal die Frage:
Wie sollte man ein (neues) Zugangspasswort übermitteln?

Garnicht. Wenn ein Benutzer ein neues Passwort anfordert, soll ihm per Email ein Link mit einem Zufallsstring in der URL zugesandt werden, mit dem eine Seite aufgerufen wird, auf der er selbst ein neues Passwort festlegen kann. Dieser Link hat zeitlich begrenzt (z.B. 15 Minuten) gültig zu sein.

Das fängt aber nicht den Fall ab, dass das Mailkonto gekapert wurde oder die Mailübertragung mitgelesen wird. Ich komme da einfach zu keiner sinnvollen Lösung. Es fehlt einfach ein Authentifizierungsschritt, also ein "Secret" dafür.

Grüße
TS