Étape 21 : formulaire public d'inscription des bénévoles

Retire « constructeur de formulaire » des exclusions du CLAUDE.md (§ 5) —
décision explicite prise en conversation.

Un formulaire par édition (COORDINATION choisit les champs actifs parmi
neuf : email, téléphone, vœux de poste — max 2, vœux d'artiste — un par
soir de festival, vœu de compagnon en texte libre, disponibilité/
cotisation déclaratives, photo, commentaire ; nom/prénom toujours
collectés) ouvert/fermé à volonté, avec un lien à partager
(/inscription, aucun compte requis).

Backend : FormTemplate/FormField (migration 0013), quatre nouveaux champs
sur Volunteer (photo, companion_wish_note, self_declared_available,
willing_to_pay_fee), app/api/forms.py — les deux seuls endpoints publics
de toute l'API (GET .../form/public, POST .../form/public/submit),
protégés par hCaptcha (app/forms/captcha.py, désactivé sans
HCAPTCHA_SECRET_KEY) et un filet de sécurité global par édition
(form_submission_limiter). resolve_owned_ids/set_artists/
set_wished_positions déplacés vers app/api/_common.py, partagés avec
volunteers.py.

Frontend : écran de configuration (/inscriptions) avec lien copiable et
bascule ouvert/fermé, formulaire public (/inscription, hors RequireAuth)
avec widget hCaptcha chargé dynamiquement, capture photo native
(<input capture>), vœux de poste/artiste avec les mêmes règles que le
back-end. Réponses du formulaire visibles et éditables depuis la fiche
bénévole existante (ConfigVolunteers.tsx).

Vérifié : pytest (273 passés), ruff, alembic check, tsc --noEmit, eslint,
vite build, smoke (rendu SSR de chaque écran + flux de bout en bout du
formulaire en mode démonstration) — tous verts.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/app/forms/__init__.py

@@ -0,0 +1,3 @@
+from app.forms.captcha import verify_hcaptcha
+
+__all__ = ["verify_hcaptcha"]

backend/app/forms/captcha.py

@@ -0,0 +1,46 @@
+"""Vérification hCaptcha du formulaire public d'inscription.
+
+Point d'injection unique : `_verify_with_hcaptcha` (remplacé dans les tests,
+même principe que `app.email.sender.deliver_many`). Sans `HCAPTCHA_SECRET_KEY`
+configurée (dev/tests), la vérification est désactivée — voir
+`app/config.py:Settings.hcaptcha_secret_key`.
+"""
+
+import logging
+
+import httpx
+
+from app.config import get_settings
+
+logger = logging.getLogger("app.forms")
+
+_VERIFY_URL = "https://hcaptcha.com/siteverify"
+_TIMEOUT_SECONDS = 8.0
+
+
+def _verify_with_hcaptcha(token: str, secret: str) -> bool:
+    """Appel réel à l'API hCaptcha. Toute erreur réseau/serveur est traitée
+    comme un échec de vérification (on ne laisse jamais passer par défaut)."""
+    try:
+        resp = httpx.post(
+            _VERIFY_URL,
+            data={"secret": secret, "response": token},
+            timeout=_TIMEOUT_SECONDS,
+        )
+        resp.raise_for_status()
+        return bool(resp.json().get("success"))
+    except httpx.HTTPError as exc:
+        logger.warning("Échec de la vérification hCaptcha : %s", exc.__class__.__name__)
+        return False
+
+
+def verify_hcaptcha(token: str | None) -> bool:
+    """`False` si `token` est vide, ou si la vérification hCaptcha échoue.
+    Toujours `True` quand `HCAPTCHA_SECRET_KEY` n'est pas configurée (dev,
+    tests) — voir l'avertissement au démarrage dans `app/main.py`."""
+    secret = get_settings().hcaptcha_secret_key
+    if not secret:
+        return True
+    if not token:
+        return False
+    return _verify_with_hcaptcha(token, secret)