Каждое письмо может запрашивать до X раз в день.
Сохранять каждый счетчик запросов электронной почты в БД (я предполагаю, что вы отправляете только на электронные письма, зарегистрированные в вашей БД).Кроме того, не сбрасывайте пароль, пока пользователь фактически не нажмет на ссылку в своем электронном письме.