Mah, se c'è un'accoppiata codice/email magari eviti che qualcuno si diverta a provare a fare attivazioni a caso cambiando il solo codice numerico nella barra degli indirizzi.
Su un codice solo numerico di 10 cifre è relativamente semplice attivare anche altri mettendo numeri a caso, ma se per il codice che generi usi una cosa tipo
md5(time())
ti basta quello ed eviti di dover mettere l'email dell'utente come parametro nell'indirizzo.

Una stringa di 32 caratteri alfanumerici da indovinare a caso non è per niente semplice e nessuno ci proverà.