El email de restablecimiento es una transacción de seguridad, no otro mensaje de formulario. Separa si WordPress generó el reset, si la capa de correo lo aceptó y si el proveedor del destinatario lo entregó o filtró. Evita pedir muchos resets mientras no sepas qué token sigue vigente.
Confirma que WordPress creó el flujo
Usa un usuario de prueba y anota la hora exacta. Verifica que la cuenta existe y que la acción termina sin errores PHP.
Inspecciona el mensaje generado
Comprueba destinatario, dominio From y host de la URL. No pegues el token completo en logs o tickets.
Sigue la entrega al transporte
Consulta wp_mail/SMTP/proveedor por message ID u hora. “Aceptado por SMTP” no equivale a entregado.
Revisa autenticación y filtrado
Comprueba alineación SPF/DKIM/DMARC y datos de entrega/rebote. Los resets suelen filtrarse con más rigor por contener enlaces de seguridad.
Prueba un buzón externo
Un buzón del propio dominio puede ocultar fallos DNS o reputación. Compara con un proveedor externo representativo.
Verifica la recuperación completa
Usa el enlace una vez, confirma que llega al host canónico y que el cambio de contraseña invalida el token anterior.
Sigue la ruta completa con la guía navegador-buzón e interpreta el transporte con la guía de logs SMTP.
Registra el ciclo del reset, no el token
Para una cuenta de prueba anota hora de solicitud, user ID, hora de generación del mensaje, message ID del proveedor y si el enlace se usó o quedó sustituido. No guardes la clave de reset en el log. Si se pide otro correo, deja constancia de que el enlace anterior puede dejar de ser válido para no confundirlo con un fallo de entrega.