Во первых, эта проблема в принципе решаема. Если таковая возникнет, просто добавлю еще пару методов аутентификации.
Во вторых, в отличие от заголовков писем, поля HTTP запроса в логи мало кто выводит. Да и возни мальца побольше, т.е. надо этим делом заниматься специально. В третьих не все работают через прокси.
В случае с письмом же имеем:
1) заголовок будет показан в логе чистом виде, даже рекодировать не надо - там сплошь ansi. Т.е. может быть замечен человеком даже не занимающимся охотой за паролями.
2) При отказе (через релеи не прошло, еще чего-нибудь) письмишко свалится постмастеру. Опять же аккаунт высвечен. Причем это в отличие от даже 1 более вероятно.