Étape 10 : envoi d'emails par SMTP

- app/email/ : sender (smtplib, STARTTLS ou SSL, connexion réutilisée pour un
  lot) + templates (rendu, textes dans locales/fr.json). EMAIL_ENABLED=false
  (défaut) ⇒ journalisé seulement, sans destinataire ni corps (RGPD).
- Lien magique : POST .../auth/magic-link envoie désormais l'email
  (PUBLIC_BASE_URL + magic_link_path + ?token=). Helper app/auth/magic_link.py
  partagé. Sans SMTP, le jeton non nominatif reste journalisé pour le dev.
- Récapitulatif de planning : POST /editions/{id}/notifications/planning
  (COORDINATION). subject/body sont des modèles ({prenom}, {nom}, {nb_creneaux},
  {nb_heures}, {creneaux}, {lien_connexion} → lien magique personnel émis).
  Cible tous les bénévoles avec email ou une liste. Envoi en BackgroundTasks.
- Config : PUBLIC_BASE_URL, EMAIL_ENABLED, SMTP_* ; .env.example,
  docker-compose (dev + prod), deploy/README.
- 9 tests (sender activé/désactivé, rendu, notifications : contenu, gabarit par
  défaut, lien magique embarqué, sous-ensemble, réservé COORDINATION).
  137 tests au total ; ruff + alembic check verts.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

backend/app/api/auth.py

@@ -7,7 +7,6 @@ Deux systèmes, selon le compte :
   comptes sans mot de passe — référents et bénévoles.
 """
 
-import datetime as dt
 import logging
 import uuid
 
@@ -24,10 +23,12 @@ from app.api.schemas import (
     VerifyRequest,
 )
 from app.auth.deps import get_current_account
+from app.auth.magic_link import build_magic_link_url, issue_magic_link_token
 from app.auth.passwords import MIN_LENGTH, hash_password, verify_password
-from app.auth.tokens import create_access_token, hash_token, new_raw_token
+from app.auth.tokens import create_access_token, hash_token
 from app.config import get_settings
 from app.db import get_session
+from app.email import render_magic_link, send
 from app.models import Account, MagicLinkToken, local_now
 
 router = APIRouter(tags=["auth"])
@@ -130,24 +131,21 @@ def request_magic_link(
     Réponse identique dans tous les cas (pas de divulgation)."""
     account = _account_by_email(session, edition_id, payload.email)
     if account is not None and account.password_hash is None:
-        raw = new_raw_token()
-        token = MagicLinkToken(
-            account_id=account.id,
-            token_hash=hash_token(raw),
-            expires_at=local_now()
-            + dt.timedelta(minutes=get_settings().magic_link_ttl_minutes),
-        )
-        session.add(token)
+        settings = get_settings()
+        raw = issue_magic_link_token(session, account)
         session.commit()
-        # STUB : en production, ce lien part par email. Ici on le journalise
-        # (identifiants uniquement, aucune donnée nominative).
-        logger.info(
-            "STUB lien magique — compte=%s édition=%s expire=%s jeton=%s",
-            account.id,
-            edition_id,
-            token.expires_at.isoformat(),
-            raw,
+        subject, body = render_magic_link(
+            link=build_magic_link_url(raw),
+            minutes=settings.magic_link_ttl_minutes,
         )
+        send(account.email, subject, body)
+        if not settings.email_enabled:
+            # Aide au dev sans SMTP : le jeton (non nominatif) est journalisé.
+            logger.info(
+                "Lien magique (email désactivé) — compte=%s jeton=%s",
+                account.id,
+                raw,
+            )
     return {"status": "accepted"}