Use CAPTCHA for reset of password when only an email address is used to reset

[sunetzacharias]

5.3.3

"Om en användare utför lösenordsåterställning enbart med validerad e-postadress sker det genom en tidsbegränsad engångskod som skickas ut, tillsammans med sannolikhetskontroll genom CAPTCHA (enligt 5.2.5). Efter det sänks tillitsnivån automatiskt till obekräftad användare. Användaren blir då tvungen att genomföra en ny identitetsverifiering (enligt 5.2.5) för att bli bekräftad och eventuellt verifieras."

ur SWAMIDS policy AL1 Credential Issuing, Credential Renewal and Re-issuing
"Online using an email with a one time password/pin code in combination with an online verification of human presence (e.g. CAPTCHA or equal)"