L'id session est a évité. Quand tu envoie le mail, tu n'as ni la possibilité de savoir si le mail arrivera avant la fin de la session, ni la possibilité de savoir si le mail sera ouvert dans le même navigateur que celui d'origine ni même la possibilité de savoir si le mail sera lu sur le même ordinateur.
Ce qu'il faut indiquer dans le lien contenu par le mail, c'est un id unique de validation et si tu veux rajouter plus de sécurité, redemander le nom d'utilisateur et le mot de passe dans la page qui s'affichera.
Quand au lien qui sera contenu dans le mail, il sera exactement comme les liens que t'as dans une page html.
