aún así ¿qué te dice que ese producto no lo va a pasar a otra persona? Lo de la contraseña es sencillo que crees un código que verifique si lo ha bajado o no con tan solo crear dos campos adicionales (otras columnas en la base de datos) que diga cuantas veces ha bajado el producto y desde que IP también lo ha bajado. Eso lo haces cuando pulse el link que hayas enviado con la contraseña que hayas creado única.