Corrige le QR code de la 2FA invisible à l'inscription

Deux bugs cumulés dans auth/totp_qrcode_svg.py :
- SvgImage (variante utilisée) ne pose aucun attribut viewBox sur le
  <svg> racine — la règle CSS qui le fait tenir dans son cadre
  (.totpQrWrap svg { width:100% }) n'avait donc rien à quoi se raccorder
  pour mettre à l'échelle le dessin interne (coordonnées en mm) : le QR
  code restait invisible/coupé. Remplacé par SvgPathImage, seule variante
  pure Python de qrcode dont le <svg> racine inclut un viewBox.
- qrcode.make() préfixe toujours sa sortie d'une déclaration XML
  ("<?xml version=...?>"), valide pour un fichier .svg autonome mais
  invalide au milieu d'un document HTML — ne garder que ce qui commence
  à "<svg" avant de l'insérer dans la page.

165 tests toujours au vert. Le compte non confirmé resté bloqué sur cet
écran (vandal.william@forgebase.fr) a été supprimé de data/users.db : la
prochaine inscription redevient bien le tout premier compte (admin).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

auth/totp_qrcode_svg.py

@@ -11,11 +11,23 @@ def totp_provisioning_uri(secret, email):
 
 def totp_qrcode_svg(secret, email):
     """SVG (pas PNG) : la variante "image factory" par défaut de qrcode a
-    besoin de Pillow pour produire un PNG — SvgImage, elle, est du pur
+    besoin de Pillow pour produire un PNG — SvgPathImage, elle, est du pur
     Python, sans dépendance supplémentaire à installer juste pour un QR
-    code affiché une seule fois par compte, à l'inscription."""
+    code affiché une seule fois par compte, à l'inscription. SvgPathImage
+    précisément (pas le simple SvgImage) : c'est la seule des deux variantes
+    dont le <svg> racine porte un attribut viewBox — sans lui, la règle CSS
+    qui fait tenir le QR code dans son cadre (.totpQrWrap svg { width:100% })
+    n'a rien à quoi se raccorder pour mettre à l'échelle le dessin interne
+    (en mm) : le QR code restait invisible/coupé au lieu de s'afficher.
+
+    qrcode.make() préfixe toujours sa sortie d'une déclaration XML
+    ("<?xml version=...?>") — valide pour un fichier .svg autonome, mais
+    invalide au milieu d'un document HTML : certains navigateurs
+    n'affichent alors rien du tout à partir de ce point. On ne garde donc
+    que ce qui commence à "<svg"."""
     uri = totp_provisioning_uri(secret, email)
-    img = qrcode.make(uri, image_factory=qrcode.image.svg.SvgImage)
+    img = qrcode.make(uri, image_factory=qrcode.image.svg.SvgPathImage)
     buf = io.BytesIO()
     img.save(buf)
-    return buf.getvalue().decode("utf-8")
+    svg = buf.getvalue().decode("utf-8")
+    return svg[svg.index("<svg"):]