Un flusso di reimpostazione della password è il percorso di recupero che consente a un utente legittimo di riottenere l'accesso all'account dopo aver dimenticato una password. I passaggi tipici includono la dimostrazione del controllo di un indirizzo email registrato, la risposta a una sfida di recupero, l'uso di un token monouso e infine l'impostazione di una nuova password. L'obiettivo è ripristinare l'accesso senza indebolire la postura di sicurezza dell'account.
Nella sicurezza informatica, questo flusso è importante perché spesso si colloca vicino all'autenticazione primaria ma riceve meno attenzione rispetto al login. Se un attaccante riesce a bypassare un passaggio di verifica, il percorso di reimpostazione può diventare una via di compromissione dell'account: l'attaccante cambia la password senza dimostrare la proprietà dell'account. I difensori trattano i flussi di reimpostazione come obiettivi di alto valore, rafforzano la convalida dei token, limitano i tentativi di reimpostazione, monitorano attività anomale di reset e testano la presenza di difetti logici che consentano di saltare i controlli di stato. Un flusso di recupero sicuro dovrebbe fallire in modo chiuso, richiedere una prova forte del controllo e non fidarsi mai del solo input dell'utente.