Lo que se supone que debe pasar:

La solicitud es completamente manejada por el paquete django-allauth que se supone que detecta el token, lo guarda en la sesión, lo redirige a la página 'cambiar su contraseña' y finalmente carga el token desde la sesión.

El problema:

La función de restablecimiento de contraseña no funciona al hacer clic en el enlace del correo electrónico (token incorrecto), pero si copio y pego el enlace en la barra de URL o hago clic en href en el modo Inspeccionar elemento, SÍ funciona.
Nota: También funciona si

• Recargo la página después de ver "Bad Token"
• Hago clic en el enlace desde dentro de una aplicación de correo electrónico en mi dispositivo móvil

El error:

Cuando hace clic en el enlace de su correo electrónico, llega hasta la página 'cambiar su contraseña', pero obtiene un error de "Token incorrecto" ya que no se encontró ningún token en la sesión.

Formato del enlace enviado por correo electrónico al usuario:

 <a href="https://subdomain.url.com/ls/click?upn=DEcd6nIgEEAvb4Zt..." rel="noreferrer" safedirecturl="https://www.google.com/url?q=https://sudomain.url.com/...">link text</a>

Para aclarar, tanto href como safedirecturl funcionan bien si copio y pego en la barra de URL

Conclusión:

Hasta ahora, estas son mis únicas conjeturas sobre la causa del problema:

• Un sitio web externo está refiriendo al usuario a la página.
  • Safedirecturl funciona, lo que parece contradecir esto.
• El token no se guarda en la sesión a tiempo (¿condición de carrera?)
  • Esto me parece poco probable ya que en el código fuente de django-allauth vi que el token está configurado en la sesión antes de la redirección final .

Agradecería mucho cualquier aporte ya que estoy un poco perplejo en este punto.