Como tuviste la idea de registrar la dirección de la IP de la última conexión del usuario y enviar mail si a la siguiente vez nos salía muy lejos del punto de origen, pensé que a la hora de que se registre el usuario y se tenga que enviar el email de activación junto al token, como ya tenemos que captar esos datos aprovechar y generar el token de activación de cuenta (el que enviamos por email) en base a la IP del usuario. Esto nos garantizaría que el usuario es el mismo que en los 15-30 min que el usuario tiene (o debería, hay que cambiarlo) de tiempo para verificar su email, todo siempre hasheado y tenemos doble validación.
Como tuviste la idea de registrar la dirección de la IP de la última conexión del usuario y enviar mail si a la siguiente vez nos salía muy lejos del punto de origen, pensé que a la hora de que se registre el usuario y se tenga que enviar el email de activación junto al token, como ya tenemos que captar esos datos aprovechar y generar el token de activación de cuenta (el que enviamos por email) en base a la IP del usuario. Esto nos garantizaría que el usuario es el mismo que en los 15-30 min que el usuario tiene (o debería, hay que cambiarlo) de tiempo para verificar su email, todo siempre hasheado y tenemos doble validación.