إذا كان المستخدم قد حدد موقع حسابه (أي يعرف اسم المستخدم والمعرّف الخاص به)، لكنه لا يعرف كلمة المرور (ولا توجد لديه طريقة مصادقة من عامل واحد مضافة، مثل CTAP2)، فإنه لا يستطيع الحصول على عنوان البريد الإلكتروني للحساب بمجرد إضافة .json إلى عنوان URI الخاص بالملف الشخصي ذي الصلة.
وبالتالي، كيف يمكنه طلب إعادة تعيين كلمة المرور، بالنظر إلى أن نموذج إعادة تعيين كلمة المرور يتطلب عنوان بريد إلكتروني؛ فهو لا يقبل اسم المستخدم؟
يمكنهم البحث في حسابات البريد الإلكتروني المختلفة الخاصة بهم عن نطاق المنتدى؟ كم عدد عناوين البريد الإلكتروني التي يمتلكونها؟ 
إذا فشل كل شيء آخر…
a**********t@*****.com؟ في بعض الأحيان يكون ذلك كافيًا للمساعدة (ولكنه أيضًا يكشف عن القليل من المعلومات، لذلك قد لا يرغب في ذلك)يمكن لمستخدمي الموظفين رؤية عنوان البريد الإلكتروني الذي سجل به المستخدم. يمكن للموظفين إخبار المستخدم بعنوان بريده الإلكتروني، بحيث يمكنه تسجيل الدخول.
لا يمكن عرض البريد الإلكتروني في JSON. في الواقع، إنه مخفي للغاية، حتى بالنسبة للموظفين (أي خلف زر “إظهار”)، ويتم تسجيله في سجلات الموظفين إذا لم أكن مخطئًا.
هل هذا ممكن؟