Полагаю, это может случиться и с другими людьми, поэтому я выкладываю решение, которое в итоге нашел. Надеюсь, что кто-то потеряет несколько часов, как я. Проблема была на самом деле, скорее всего, c (несколько разочаровывающая).
Проблема была в APP_ID. Он используется как часть URL-адреса, который получает пользователь (для сброса пароля), поэтому, если он содержит странные символы, вы, возможно, решили усложнить идентификацию. Это сломает URL. Я думаю, если кто-то выберет «abcd1234», то проблем не будет вообще. Но вы можете захотеть иметь что-то другое по другим причинам. Поэтому нужно найти хороший баланс, внимательно следя за символами, используемыми в APP_ID.
После того, как я исправил, все пошло так, как ожидалось.