Étape 8 : connexion par mot de passe pour la coordination

Deux systèmes d'authentification, une même session JWT :
- COORDINATION : login e-mail + mot de passe (bcrypt), POST .../auth/login ;
  POST .../auth/change-password pour le compte courant
- RÉFÉRENTS / BÉNÉVOLES : lien magique inchangé, mais refusé pour un compte
  qui a un mot de passe

- Account.password_hash (nullable) + migration 0002 ; propriété auth_method
  ("password" / "magic_link") exposée dans AccountRead
- app/auth/passwords.py : hash/verify bcrypt, longueur mini 10
- Création de compte : password requis pour COORDINATOR, interdit sinon
- seed : la coordination de démo a un mot de passe, affiché dans le résumé
- 12 tests (login ok/ko, séparation des deux systèmes, change-password,
  validation à la création) ; 129 tests au total ; alembic check vert

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

backend/app/models/domain.py

@@ -173,6 +173,9 @@ class Account(TimestampMixin, table=True):
     role: Role = Field(
         sa_column=Column(SAEnum(Role, native_enum=False), nullable=False)
     )
+    # Défini ⇒ connexion par mot de passe (admins). None ⇒ connexion par lien
+    # magique (référents, bénévoles).
+    password_hash: str | None = None
     # Lien optionnel vers le bénévole. Supprimé avec lui (droit à l'effacement).
     volunteer_id: uuid.UUID | None = Field(
         default=None,
@@ -181,6 +184,10 @@ class Account(TimestampMixin, table=True):
         nullable=True,
     )
 
+    @property
+    def auth_method(self) -> str:
+        return "password" if self.password_hash else "magic_link"
+
 
 class MagicLinkToken(TimestampMixin, table=True):
     __tablename__ = "magic_link_token"