Aggiungo questo riferimento: è l’impostazione del sito hide_email_address_taken che, quando abilitata (e come notato da @moin, questa impostazione è abilitata per impostazione predefinita), richiede che il modulo “Password dimenticata” accetti solo l’indirizzo email completo. L’opzione di inserire un nome utente in quel campo esiste solo quando l’impostazione è disabilitata.
Ho difficoltà a immaginare come inserire un nome utente lì possa rivelare l’esistenza di un indirizzo email “già utilizzato”, poiché non visualizziamo alcuna parte di quell’indirizzo email nella pagina web (o ovunque abbia visto nella console) dopo che il modulo è stato inviato con un nome utente.