Ajoute la réinitialisation de mot de passe par email (SMTP)

Un lien "Mot de passe oublié ?" (login.html) mène à /forgot-password :
si l'adresse saisie correspond à un compte, un jeton à haute entropie
(secrets.token_urlsafe, valable 1h) est généré et envoyé par email via
smtplib (auth/send_email.py, aucune dépendance ajoutée) — configuré
uniquement par variables d'environnement (SMTP_HOST/PORT/USER/PASSWORD/
FROM, voir .env.example et docker-compose.prod.yml), n'importe quel
serveur SMTP existant convient (Mailcow compris).

Seul le hash SHA-256 du jeton est stocké (auth/password_reset.py, table
_password_reset_tokens) : un jeton envoyé par email reste inutilisable
même en cas de fuite de la base. Le même message générique s'affiche que
l'adresse corresponde à un compte ou non, pour ne jamais permettre à ce
formulaire de servir à deviner quelles adresses sont déjà inscrites. Un
échec d'envoi (SMTP non configuré) est journalisé côté serveur seulement,
jamais révélé à l'utilisateur.

/reset-password/<token> vérifie le jeton (non expiré, non déjà utilisé),
applique les mêmes règles de mot de passe fort qu'à l'inscription (même
schéma visuel), puis consomme le jeton et remet à zéro le compteur
anti-bruteforce du compte (auth/set_password.py) — une identité prouvée
par email est une voie de récupération légitime même pour un compte
verrouillé.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

auth/__init__.py

@@ -20,6 +20,12 @@ from .rate_limit import lockout_minutes_for, seconds_locked_remaining, lockout_m
 from .record_failed_attempt import record_failed_attempt
 from .reset_failed_attempts import reset_failed_attempts
 from .recovery_codes import generate_recovery_codes, verify_recovery_code
+from .set_password import set_password
+from .password_reset import (
+    create_password_reset_token, get_user_id_for_valid_token, consume_password_reset_token,
+    TOKEN_TTL_MINUTES,
+)
+from .send_email import send_password_reset_email, EmailNotConfiguredError
 
 __all__ = [
     "users_db_path", "ensure_users_schema", "is_first_user",
@@ -31,4 +37,7 @@ __all__ = [
     "lockout_minutes_for", "seconds_locked_remaining", "lockout_message",
     "record_failed_attempt", "reset_failed_attempts",
     "generate_recovery_codes", "verify_recovery_code",
+    "set_password", "create_password_reset_token", "get_user_id_for_valid_token",
+    "consume_password_reset_token", "TOKEN_TTL_MINUTES",
+    "send_password_reset_email", "EmailNotConfiguredError",
 ]