Jujur saja. Yg saya tidak paham adalah "kecuali diubah oleh admin", bukankah admin jika seperti itu bisa saja mengubahnya secara mendadak? Jika seperti itu berarti ada kemungkinan kalo admin bisa mengubah password mendadak tanpa sepengetahuan penggunanya.
Setau saya setiap website memang seperti ini gan, tujuannya untuk mempermudah administrator apabila user tersebut suatu saat butuh mengubah password dengan kondisi tidak memungkinkan reset password melalui email. Tapi kembali lagi kepada peraturan pemilik website tersebut karena setiap aktifitas admin telah direkam oleh sistem, jadi apabila ada oknum admin yg seenaknya mengubah password user bisa melakukan komplain dan pemilik website dapat melakukan pengecekan, itu sih setau saya,.
