Второй рубеж на входе. Спрашивается, когда в кабинет заходят с нового устройства — почты и кода из письма будет уже недостаточно.
Забыли слово — восстановить его нельзя, только снять через поддержку после проверки, что аккаунт ваш. Так и задумано: будь у слова автоматическое восстановление по почте, оно защищало бы ровно ни от чего.