Envoie les emails via un relais SMTP configurable plutôt qu'en direct-to-MX

Ajoute le bloc "smtp" (host, port, identifiants, TLS) dans config.json,
plus fiable et plus simple à opérer qu'une livraison directe au MX du
destinataire. data/config.json n'est plus versionné (secrets), remplacé
par data/config.example.json.

app/templates/set_password.html

@@ -0,0 +1,49 @@
+{% extends "base.html" %}
+{% block content %}
+<div class="login-wrap">
+  <div class="login-card">
+    <div class="login-header">
+      <span class="login-eyebrow">Décompte Horaire</span>
+      <h1 class="login-title">Définir ton mot de passe</h1>
+    </div>
+
+    {% if error %}
+    <div class="login-error">{{ error }}</div>
+    {% endif %}
+
+    {% if valid %}
+    <form method="post" action="/set-password/{{ token }}" class="login-form">
+      <label class="login-label" for="password">Nouveau mot de passe</label>
+      <input
+        id="password"
+        class="login-input"
+        type="password"
+        name="password"
+        autocomplete="new-password"
+        autofocus
+        placeholder="8 caractères minimum"
+        minlength="8"
+        required
+      >
+      <label class="login-label" for="password2">Confirmation</label>
+      <input
+        id="password2"
+        class="login-input"
+        type="password"
+        name="password2"
+        autocomplete="new-password"
+        placeholder="Retape le même mot de passe"
+        minlength="8"
+        required
+      >
+      <button class="login-btn" type="submit">Valider</button>
+    </form>
+    {% else %}
+    <p class="login-hint">
+      Ce lien est invalide ou a expiré. Retourne sur la
+      <a href="/login">page de connexion</a> pour en redemander un.
+    </p>
+    {% endif %}
+  </div>
+</div>
+{% endblock %}