Lien de connexion directe permanent dans le récapitulatif de planning

{lien_connexion} devient un lien permanent (réutilisable, sans expiration,
signé HMAC, rien de stocké) au lieu d'un lien magique de 30 min à usage
unique ou d'un simple lien vers le site. Compte bénévole créé à l'envoi
s'il manque ; révocation par « Renouveler le lien de connexion » sur la
fiche (Account.login_link_version, migration 0031) ; jamais pour la
coordination.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -579,7 +579,26 @@ compte** : c'est un champ de la fiche, pas une inscription. Tant qu'aucun
 personne à qui écrire pour cet email et ne fait rien (202 quoi qu'il arrive,
 pour ne jamais révéler si un compte existe). Front : bouton « Donner un accès
 de connexion » sur la fiche du bénévole (`ConfigVolunteers.tsx`), qui appelle
-cet endpoint avec `role=VOLUNTEER`.
+cet endpoint avec `role=VOLUNTEER`. Seule exception : envoyer un
+récapitulatif de planning contenant `{lien_connexion}` vaut aussi « donner
+un accès » (voir plus bas).
+
+*Lien de connexion permanent* — celui du récapitulatif de planning
+(`{lien_connexion}`, `app/auth/permanent_link.py`) : connexion directe en
+un clic, **réutilisable et sans expiration** (contrairement au lien magique
+de la page de connexion, 30 min et usage unique), pour que le bénévole
+retrouve son planning depuis n'importe quel email reçu. Rien n'est stocké :
+jeton `pl.<id du compte>.<HMAC(JWT_SECRET, id + login_link_version)>`,
+vérifié par le même `POST .../auth/verify` (même page `/connexion?token=`
+côté front). Bénévoles et référents seulement — jamais un compte de la
+coordination ni à mot de passe. Révocation : bouton « Renouveler le lien
+de connexion » sur la fiche (`POST .../accounts/{id}/reset-login-link`,
+COORDINATION, incrémente `Account.login_link_version`, migration `0031`) —
+tous les liens déjà envoyés à ce compte cessent de fonctionner ; changer
+`JWT_SECRET` les révoque tous. Un bénévole sans compte en reçoit un
+(`VOLUNTEER`, à son email) à l'envoi d'un récapitulatif avec
+`{lien_connexion}` ; si son email est déjà celui d'un autre compte (couple,
+famille), pas de compte possible : lien vers la page de connexion seule.
 
 `PATCH /editions/{id}/accounts/{account_id}` change uniquement le `role`, et
 seulement entre `LEAD` et `VOLUNTEER` (lien magique dans les deux cas) — 422
@@ -642,8 +661,9 @@ ni corps**). Config : `SMTP_HOST/PORT/USER/PASSWORD/STARTTLS/SSL/FROM`,
 - **Récapitulatif de planning** : `POST /editions/{id}/notifications/planning`
   (COORDINATION), corps `{ subject?, body?, volunteer_ids? }`. `subject`/`body`
   sont des **modèles** avec `{prenom}`, `{nom}`, `{nb_creneaux}`, `{nb_heures}`,
-  `{creneaux}`, `{lien_connexion}` (si présent ⇒ un lien magique personnel est
-  émis pour le compte du bénévole). `volunteer_ids` absent ⇒ tous les bénévoles
+  `{creneaux}`, `{lien_connexion}` (lien de connexion **permanent** du
+  bénévole, voir « Lien de connexion permanent » plus haut — compte créé
+  s'il n'en a pas). `volunteer_ids` absent ⇒ tous les bénévoles
   de l'édition qui ont un email. Envoi en tâche de fond (`BackgroundTasks`,
   une connexion SMTP réutilisée). Réponse : `{ queued, skipped_no_email,
   recipients }`. `{creneaux}` est un **tableau**, comme sur les badges : le jour de
@@ -1098,6 +1118,7 @@ Aucune dépendance locale requise hors Docker.
 | 67    | Email de test : adresse + bouton dans l'onglet « Messages » de la configuration, envoi immédiat et résultat réel affiché (envoyé, envoi désactivé, connexion refusée, message refusé, avec la réponse du serveur SMTP) — `POST .../notifications/test` | à valider |
 | 68    | L'email de test est le récapitulatif de planning compilé tel qu'envoyé aux bénévoles (modèle en cours d'édition, variables remplies avec le planning d'un bénévole au choix, option lien de connexion — sans vrai jeton —, sujet « [Test] … ») | à valider |
 | 69    | Récapitulatif de planning : `{creneaux}` devient un tableau par jour de festival (horaire, poste, référent avec son téléphone), en HTML dans l'email et en lignes lisibles dans la version texte — envoi réel et email de test | à valider |
+| 70    | `{lien_connexion}` devient un lien de connexion directe permanent (réutilisable, sans expiration, signé HMAC, rien de stocké — avant : lien magique de 30 min à usage unique, ou simple lien vers le site sans compte) ; compte bénévole créé à l'envoi s'il manque ; révocation par « Renouveler le lien de connexion » sur la fiche (`Account.login_link_version`, migration `0031`) ; jamais pour la coordination | à valider |
 
 **Reste hors périmètre** (modèle prêt à les accueillir) : SMS, constructeur
 de formulaire, IA. Frontend : squelette + 6 écrans +