Et sinon pour continuer le parallèle avec HTTPS, je trouve qu'envoyer un mot de passe initial (ou un token) par mail mais ne jamais le stocker, c'est un peu comme les sites HTTPS qui n'ont pas de certificat signé par une autorité de confiance. Bien sûr que ça n'est pas idéal, mais en pratique je sais qu'il y a de grandes chances pour que ce soit quand même bien plus sûr qu'un site qui n'a pas de HTTPS du tout.