dont base64encode the verification token