- pool psycopg (enervision_api.db), migrations appliquées au démarrage
  avec verrou consultatif ; CLI python db/migrate.py
- db/migrations/0001_auth.sql : schéma ops (users, user_sites, auth_sessions)
- auth/service : login, refresh (rotation + détection de rejeu), logout
- auth/repository et auth/models
- tests d'intégration du service, skippés sans PostgreSQL
- venv unique à la racine ; .env résolu depuis services/api/

Refs #38

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

@@ -0,0 +4,4 @@
+create index if not exists auth_sessions_famille on ops.auth_sessions (family_id);
+
+-- limite de débit du login par (ip, email)
+drop index if exists ops.auth_events_echecs_recents;

@@ -0,0 +23,4 @@
+
+class Credentials(BaseModel):
+    email: str = Field(min_length=3, max_length=320)
+    password: str = Field(min_length=1, max_length=1024)

@@ -0,0 +95,4 @@
+    agent = request.headers.get("user-agent")
+    if (
+        ip
+        and repo.count_recent_login_failures(conn, ip, email, s.login_failure_window_seconds)

@@ -0,0 +228,4 @@
+        ) from None
+    repo.record_event(
+        conn,
+        "user_updated",

@@ -0,0 +30,4 @@
+
+def decode_access(token: str, *, secret: str) -> int:
+    """Renvoie l'id utilisateur. Lève ``jwt.InvalidTokenError`` sur tout écart."""
+    payload = jwt.decode(token, secret, algorithms=[_ALGO])

@@ -0,0 +36,4 @@
+    # et qu'un en-tête Origin est présent (absent = client non-navigateur).
+    allowed = get_settings().allowed_origin
+    origin = request.headers.get("origin")
+    if request.method in _UNSAFE_METHODS and allowed and origin and origin != allowed:

@@ -0,0 +11,4 @@
+
+## Limites connues
+
+- Pas d'auto-service : un utilisateur ne peut pas changer son propre mot de passe