Mais... euh... à tout hasard, ton mot de passe, ce n'est pas "inchangé" justement ?

Même si c'était le cas faut être fou pour stocker des mots de passe en clair : pebkac dans les deux cas.

En fait c'est pas si mal ce qu'ils font.
Suite à ta demande de réinitialisation, ils t'ont envoyé un nouveau mot de passe généré aléatoirement de 8 caractères (minuscules, majuscules, chiffres et lettres accentuées) par mail.
C'est juste que ces 8 caractères ont fortuitement formé "inchangé".
Quoi, c'est pas crédible ?

Ou alors quand le site réinitialise les mots de passe ils mettent systématiquement "inchangé", et ensuite à toi de le modifier. J'ai déjà vu des systèmes fonctionner ainsi.

Dans ce cas je te raconte pas le nombre de personnes qui ont le même mot de passe...

C'est ce qu'on fait au boulot, en cochant la case "l'utilisateur devra changer son mdp à la prochaine connexion".
Ce n'est pas possible un système similaire pour un site?

@seb : si, mais dans ce cas il faudrait forcer l'utilisateur à changer ce mot de passe temporaire. Ce que peu de forums (et même d'autres sites plus "sécurisés") font.

@aDev : Dans le cas que je citais pas vraiment de soucis, c'était un compte de domaine Windows, et obligation de modifier le mot de passe dès la connexion comme le dit seb. Donc pour arriver à pirater un compte il fallait connaître le login de la personne, et tenter de se conecter juste entre le moment où elle demande la réinitialisation du mot de passe et celui où elle se connecte et change le dit mot de passe (généralement c'est l'affaire de quelques minutes maximum).