Onboarding guidé systématique + tableau de bord simplifié

Comportement SYSTÉMATIQUE à chaque création de jeu (admin compris), pas
une formalité réservée à l'inscription : /onboarding (routes/onboarding/)
devient le point d'entrée unique — 4 cartes retournables (survol =
explication au dos), défilement horizontal animé vers le nom du jeu. Un
admin y repasse à volonté (pas de project_slug dédié, jamais bloqué/
redirigé vers un projet précédent) ; un compte "user" n'en a plus qu'un
créé d'office (routes/auth/register_2fa.py), guidé ici à la place.

- db/games/game_type_catalog.py : catalogue des 4 types (Quiz/
  Embranchement-escape game/RPG/Créer mon jeu de A à Z), _meta['onboarding_type']
  décide du "kind" du premier écran créé et si le tableau de bord complet
  reste accessible.
- routes/games/game_dashboard.py, templates/game_dashboard_simple.html :
  un type restreint (quiz/embranchement/rpg) voit désormais SON tableau
  de bord (même route que "custom"), rendu en version simplifiée — juste
  ses écrans en cartes avec un aperçu RÉEL du contenu (scène mise à
  l'échelle par container query CSS, adaptée à la largeur réelle de la
  carte). "+ Ajouter un écran" n'y propose pas de choix de type : imposé
  par le projet (routes/screens/screens_new.py), verrouillé aussi côté
  serveur.
- core/auth_guard.py : plus de blocage de game_dashboard par type — la
  restriction se fait au rendu, pas à l'accès à la route.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

routes/auth/login_2fa.py

@@ -52,5 +52,10 @@ def login_2fa():
                 return redirect(next_url)
             if user["role"] == "admin":
                 return redirect(url_for("index"))
+            # Onboarding guidé (voir routes/onboarding/onboarding_new.py) :
+            # un compte "user" peut ne pas encore avoir de projet du tout
+            # (inscription interrompue avant l'onboarding).
+            if not user.get("project_slug"):
+                return redirect(url_for("onboarding_new"))
             return redirect(url_for("game_dashboard", slug=user["project_slug"]))
     return render_template("auth/login_2fa.html", error=error)

routes/auth/register_2fa.py

@@ -1,7 +1,6 @@
 from flask import redirect, render_template, request, session, url_for
 
 import auth
-import db
 
 from core.flask_app import app
 
@@ -28,16 +27,6 @@ def register_2fa():
         else:
             auth.reset_failed_attempts(user_id)
             auth.confirm_totp(user_id)
-            # Un compte "user" (pas "admin") reçoit ICI son unique projet,
-            # nommé d'après son adresse email (voir create_user.py — le
-            # rôle est déjà tranché à la création : premier compte jamais
-            # créé = admin, tous les suivants = user) — un admin, lui,
-            # reste libre de créer ses jeux comme avant ("+ Nouveau jeu"),
-            # aucun projet ne lui est imposé d'office.
-            if user["role"] != "admin":
-                slug = db.create_game(f"Jeu de {user['prenom']}", slug_override=user["email"])
-                auth.set_project_slug(user_id, slug)
-                user = auth.get_user_by_id(user_id)
             session.pop("pending_register_user_id", None)
             session["user_id"] = user_id
             # Générés ici, une seule fois, à l'instant même où la 2FA
@@ -50,7 +39,14 @@ def register_2fa():
             session["recovery_codes_to_show"] = auth.generate_recovery_codes(user_id)
             if user["role"] == "admin":
                 return redirect(url_for("index"))
-            return redirect(url_for("game_dashboard", slug=user["project_slug"]))
+            # Un compte "user" (pas "admin") n'a plus de projet créé
+            # d'office ici — voir routes/onboarding/onboarding_new.py : il
+            # choisit d'abord un type de jeu et nomme son projet, PUIS
+            # auth.set_project_slug() y est appelé (core/auth_guard.py
+            # renvoie ici tout compte sans project_slug). Un admin, lui,
+            # reste libre de créer ses jeux comme avant ("+ Nouveau jeu"),
+            # aucun projet ne lui est imposé d'office.
+            return redirect(url_for("onboarding_new"))
 
     qr_svg = auth.totp_qrcode_svg(user["totp_secret"], user["email"])
     return render_template(