Шпаргалки по безопасности: сброс пароля

убедиться, что время, которое будет затрачено на ответ пользователю, является приемлемым

Не приемлемым, а одинаковым. Это нужно, чтобы злоумышленник не мог по времени ответа угадать — есть такой логин/email или нету.

P.S. в орининале:

Ensure that the time taken for the user response message is uniform