Koncepcyjnie jest to bardzo proste: w pierwszym etapie, gdy użytkownik podaje e-mail, dodajesz takiego użytkownika do bazy danych i generujesz mu jakiś token. Zaznaczasz przy okazji, że użytkownik nie jest zweryfikowany. Token ten wysyłasz w mailu, najlepiej w formie oczywiście linka, który zawiera zarówno e-mail jak i token (to pierwsze jest czasami pomijane, ale wtedy musisz zadbać o unikalność tokenu). Gdy użytkownik wejdzie w link aktywacyjny sprawdzasz poprawność adresu i tokenu i jeśli wszystko jest ok, to zapisujesz w bazie, że użytkownik jest zweryfikowany i to wszystko ;)