Existe um problema onde invasores não autenticados podem controlar os hosts de links enviados por e-mail. Isso é feito fornecendo metadados gRPC `x-authorizer-url` para a porta gRPC ou usando um cabeçalho `Grpc-Metadata-X-Authorizer-Url` através do gateway REST. Isso permite que invasores capturem tokens de redefinição ou magic-links, podendo levar à invasão de contas.