這應該有很標準的程序，不過好像還是有很多站沒這樣做…
必要的步驟包括：
- 如果使用者只記得 username，輸入後告知使用者「已經發送確認信至 username 當初所註冊的信箱」。
- 如果使用者只記得 e-mail，輸入後告知使用者「已經發送確認信至該 e-mail」，如果該 e-mail 沒有被註冊也不要有不同的訊息，因為如果可以判斷 e-mail 有沒有不同的訊息，可以利用這個功能大致判斷某個人有沒有註冊這個服務。
- 基本上都要加上 CAPTCHA 以及對 IP rate limit 避免有人利用這個行為惡搞。
要注意的是要透過「確認信」的步驟再改密碼，而不能在要求重設密碼時就馬上把密碼改掉，不然就可以惡搞使用者。