La seconda richiesta l'ho interpretata come "dentro al box a comparsa trova un link cliccabile normale con cui accedere alla pagina", quindi nessun particolare passaggio (rimane però il problema di chi non ha abilitato o ha disabilitato apposta javascript per bypassare il controllo, oltre al fatto che l'algoritmo della password sarà reperibile nel codice).