Il passare in chiaro tramite GET o POST il codice di validazione (che poi verrà mostrato sotto forma di immagine/i) è secondo me un difetto...