Étape 8 : connexion par mot de passe pour la coordination

Deux systèmes d'authentification, une même session JWT :
- COORDINATION : login e-mail + mot de passe (bcrypt), POST .../auth/login ;
  POST .../auth/change-password pour le compte courant
- RÉFÉRENTS / BÉNÉVOLES : lien magique inchangé, mais refusé pour un compte
  qui a un mot de passe

- Account.password_hash (nullable) + migration 0002 ; propriété auth_method
  ("password" / "magic_link") exposée dans AccountRead
- app/auth/passwords.py : hash/verify bcrypt, longueur mini 10
- Création de compte : password requis pour COORDINATOR, interdit sinon
- seed : la coordination de démo a un mot de passe, affiché dans le résumé
- 12 tests (login ok/ko, séparation des deux systèmes, change-password,
  validation à la création) ; 129 tests au total ; alembic check vert

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

backend/app/api/accounts.py

@@ -11,8 +11,9 @@ from app.api._common import owned_or_404
 from app.api.deps import get_edition
 from app.api.schemas import AccountCreate, AccountRead
 from app.auth.deps import require_coordinator
+from app.auth.passwords import MIN_LENGTH, hash_password
 from app.db import get_session
-from app.models import Account, Edition, Volunteer
+from app.models import Account, Edition, Role, Volunteer
 
 router = APIRouter(
     prefix="/editions/{edition_id}/accounts", tags=["accounts"]
@@ -32,11 +33,30 @@ def create_account(
             raise HTTPException(
                 status_code=422, detail={"code": "account.volunteer_wrong_edition"}
             )
+
+    # Deux systèmes de connexion : mot de passe pour la COORDINATION,
+    # lien magique pour les autres.
+    if payload.role is Role.COORDINATOR:
+        if not payload.password or len(payload.password) < MIN_LENGTH:
+            raise HTTPException(
+                status_code=422,
+                detail={"code": "account.password_required", "min": MIN_LENGTH},
+            )
+        password_hash = hash_password(payload.password)
+    else:
+        if payload.password is not None:
+            raise HTTPException(
+                status_code=422,
+                detail={"code": "account.password_not_allowed"},
+            )
+        password_hash = None
+
     account = Account(
         edition_id=edition.id,
         email=payload.email.strip(),
         role=payload.role,
         volunteer_id=payload.volunteer_id,
+        password_hash=password_hash,
     )
     session.add(account)
     try: