Emails : robustesse SMTP + diagnostic

- config.py : retrait des identifiants OVH réels remis en dur ; défauts
  neutres (email_enabled=false). Les vraies valeurs vont dans .env.
- open_smtp : le port 465 force le SSL implicite (SMTPS) même si SMTP_SSL=false
  — c'était la cause des envois qui ne partaient pas (connexion en clair sur un
  port TLS -> timeout).
- deliver_many : les erreurs de connexion / auth / rejet sont journalisées
  avec le message du serveur et ne remontent plus (l'appel HTTP n'échoue pas).
- Lien magique : envoi en tâche de fond (BackgroundTasks) comme les
  notifications ; ne bloque plus la réponse.
- app/email/check.py : `python -m app.email.check <destinataire>` — affiche la
  config effective et envoie un email de test, avec la cause exacte en cas
  d'échec.
- Tests : fixture autouse forçant EMAIL_ENABLED=false (aucun test ne touche un
  vrai SMTP, quel que soit le .env local) ; test_full_flow lit l'email capturé
  au lieu des logs. 137 tests OK.
- .env.example : notes port 465 / From = boîte authentifiée / commande check.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

CLAUDE.md

@@ -147,7 +147,18 @@ La coordination crée les comptes via `POST /editions/{id}/accounts` : un
 Envoi par **SMTP** (auto-hébergé). `EMAIL_ENABLED=false` (défaut dev/tests) ⇒
 les emails sont seulement journalisés (`app.email`, INFO, **sans destinataire
 ni corps** — RGPD). Config : `SMTP_HOST/PORT/USER/PASSWORD/STARTTLS/SSL/FROM`,
-`PUBLIC_BASE_URL` (pour les liens).
+`PUBLIC_BASE_URL` (pour les liens). Ne jamais mettre de vraies valeurs dans
+`config.py` : elles vivent dans `.env` (non versionné).
+
+- Remise « best effort » : une erreur SMTP (connexion, auth, rejet) est
+  journalisée avec le message du serveur mais ne fait pas échouer l'appel HTTP.
+- Le **port 465** implique le SSL (SMTPS) : `open_smtp` bascule
+  automatiquement, même si `SMTP_SSL=false` / `SMTP_STARTTLS=true`. Port 587 =
+  STARTTLS.
+- Beaucoup de fournisseurs (OVH…) exigent une `From` = boîte authentifiée ou
+  alias validé.
+- Diagnostic : `docker compose run --rm backend uv run python -m app.email.check
+  <destinataire>` — affiche la config effective et la cause exacte d'un échec.
 
 - **Lien magique** : `POST .../auth/magic-link` envoie l'email contenant
   `PUBLIC_BASE_URL` + `magic_link_path` + `?token=`. Sans SMTP, le jeton (non