«Ссылка недействительна» с первой попытки: её открыли до пользователя

В нашем сервисе появились обращения, которые не складывались в картину: человек запрашивает сброс пароля, получает письмо, нажимает на ссылку и видит «ссылка недействительна или устарела». Запрашивает второй раз - то же самое. Пятый раз - то же самое. Первое, что я проверил, - срок жизни токена. Срок - час, время на серверах синхронизировано, при генерации…