Как правильно реализовать подтверждение учетной записи и восстановление пароля?

а каким алгоритмом хешировать?

Александр Крымов, не суть важно, вполне достаточно соленого md5 хеша, в случае тяжелой паранойи - возьмите 2 хеша как разные значения гет параметров и шифрованные 2 разными алгоритмами с разной солью и исходными данными. В целом это не важно, так как вы не получаете снова хешключи по исходным данным, а используете их как одноразовый пароль.

ThunderCat, ок, спасибо!