Как простыми словами объяснить коллегам разницу между фразами «Пользователь может сбросить пароль через службу поддержки» и «Пользователь должен сбросить пароль через службу поддержки при подозрении на компрометацию»?

Первая фраза описывает доступную возможность сброса пароля. Вторая задаёт обязательное действие при условии подозрения на компрометацию. Это разные требования и разные сценарии проверки.

Во втором случае нужно уточнить, кто определяет подозрение, как уведомляют пользователя и что происходит до сброса. В первом проверяют доступность канала поддержки, во втором — ещё условие и обязательность процесса. Слова «может» и «должен» нельзя заменять без изменения смысла.