nochkin

Зависит от бекенда. Возможно, для данного варианта уже есть какие-то готовые решения.
Если нет или там что-то самописное, то советую посмотреть на JWT.

Я бы проверил, что это именно код, а не сеть, например.
Можно сделать запрос через "curl" и посмотреть что будет. Если опять тормоза, то надо проверять что не так. Например, сделать запрос через Chrome и посмотреть на что уходит время. Может, DNS тормозит или на той стороне reverse lookup включен, который тормозит.

Многие системы уже не отвечают есть ли такой адрес или нет. Они просто говорят, что сообщение принято и всё, даже если такого ящика нет.
Только надо отсылать тестовый email и смотреть если был отлуп потом.