Тебе по идее в /web. Но все же отвечу, если сайт на популярных cms, есть у всех кучи гайдов как сбросить пароль, но суть у всех одна ты в базе просто перезаписываешь пароль у супер юзера с своими условиями. Если самописка, еще проще просто сразу в базу топаешь.