Ajoute la régénération des codes de récupération et le changement d'email

Depuis /profile :
- "Codes de récupération 2FA" : régénère les 10 codes (invalide les 10
  précédents d'un coup, voir auth.generate_recovery_codes) et les affiche
  une seule fois via le même modal qu'à l'inscription (session flash,
  core/recovery_codes_flash.py) — mot de passe actuel requis.
- "Adresse email" : change l'adresse (mêmes règles qu'à l'inscription —
  format valide, unicité — voir auth/email_validation.py, désormais
  partagé avec create_user.py au lieu d'être dupliqué). Pour un compte
  "user", le dossier de son unique projet porte le nom de son adresse
  (project_slug = slugify(email)) : il est renommé pour suivre le
  changement (db/games/move_game.py, même logique d'unicité par suffixe
  que create_game()), sans quoi project_slug ne correspondrait plus à
  aucun dossier réel. Un "admin" n'a pas de project_slug dédié : rien
  n'est renommé pour ce rôle.

18 nouveaux tests (tests/test_profile.py) : mauvais mot de passe refusé
pour les deux actions, mauvais format/email déjà pris refusés, dossier
bien renommé et project_slug mis à jour, connexion possible avec la
nouvelle adresse, anciens codes de récupération bien invalidés après
régénération, modal jamais réaffiché deux fois.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

templates/auth/profile.html

@@ -12,9 +12,29 @@
     <div class="notification is-success">{{ success }}</div>
     {% endif %}
 
+    <div class="box">
+      <h2 class="title is-5">Adresse email</h2>
+      <p class="hint mb-4">
+        {{ 'Compte administrateur' if user.role == 'admin' else 'Compte utilisateur' }}.
+        {% if user.role != 'admin' %}Le dossier de ton jeu ({{ user.project_slug }}) est renommé automatiquement si tu changes d'adresse.{% endif %}
+      </p>
+      <form method="post" action="{{ url_for('profile_update_email') }}" autocomplete="off">
+        <div class="field">
+          <label class="label">Nouvelle adresse email</label>
+          <div class="control"><input class="input" type="email" name="email" value="{{ user.email }}" required></div>
+        </div>
+        <div class="field">
+          <label class="label">Mot de passe actuel</label>
+          <div class="control"><input class="input" type="password" name="current_password" required autocomplete="current-password"></div>
+        </div>
+        <div class="field mt-4">
+          <button type="submit" class="button primary">Changer d'adresse email</button>
+        </div>
+      </form>
+    </div>
+
     <div class="box">
       <h2 class="title is-5">Informations</h2>
-      <p class="hint mb-4">Adresse email : <strong>{{ user.email }}</strong> ({{ 'compte administrateur' if user.role == 'admin' else 'compte utilisateur' }})</p>
       <form method="post" action="{{ url_for('profile_update_name') }}">
         <div class="field">
           <label class="label">Prénom</label>
@@ -61,6 +81,20 @@
       </form>
     </div>
 
+    <div class="box">
+      <h2 class="title is-5">Codes de récupération 2FA</h2>
+      <p class="hint mb-4">Régénérer tes codes remplace immédiatement les 10 précédents par 10 nouveaux — les anciens ne fonctionneront plus. Les nouveaux codes ne sont affichés qu'une seule fois, juste après.</p>
+      <form method="post" action="{{ url_for('profile_regenerate_recovery_codes') }}" autocomplete="off">
+        <div class="field">
+          <label class="label">Mot de passe actuel</label>
+          <div class="control"><input class="input" type="password" name="current_password" required autocomplete="current-password"></div>
+        </div>
+        <div class="field mt-4">
+          <button type="submit" class="button primary">Régénérer mes 10 codes de récupération</button>
+        </div>
+      </form>
+    </div>
+
     <div class="box" style="border:1px solid #b33;">
       <h2 class="title is-5">Supprimer mon compte</h2>
       <p class="hint mb-4">