Passwort-Reset per Einmal-Link (kver reset-link)

Ohne E-Mail-System erzeugt der Admin per CLI einen Link (/reset#<token>),
gültig 72 h und einmal. Gespeichert wird nur der SHA-256 des Tokens; es
steht im Fragment und geht nur im POST-Body an die API. Der Reset meldet
alle alten Sessions ab und loggt direkt neu ein. Passwortregeln jetzt
gemeinsam in checkNewPassword.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

notes/api.md

@@ -42,7 +42,7 @@ Endpunkte antworten ohne gültige Session mit `401 auth.required`.
 **CSRF:** Nicht-GET-Requests mit fremdem `Origin`-Header werden mit
 `403 csrf.bad_origin` abgewiesen.
 
-**Rate-Limits** (pro IP): Login und Registrierung 20/min.
+**Rate-Limits** (pro IP): Login, Registrierung und Passwort-Reset 20/min.
 
 ---
 
@@ -54,10 +54,17 @@ Endpunkte antworten ohne gültige Session mit `401 auth.required`.
 | POST | `/api/auth/newuser` | – | `user` (3–32 Zeichen), `pass1` (min. 10), `pass2` | `201 {"username"}` |
 | POST | `/api/auth/logout` | – | – | `200 {"status":"ok"}`, löscht Cookie |
 | GET | `/api/auth/sessioninfo` | ✓ | – | `200 {"uid","created_at","expires","description"}`, ohne Session `401` |
+| POST | `/api/auth/reset/check` | – | `token` | `200 {"username"}`; ungültig/abgelaufen/benutzt: `404 reset.invalid` |
+| POST | `/api/auth/reset` | – | `token`, `pass1` (min. 10), `pass2` | `200 {"username"}` + Cookie (eingeloggt); löscht alle alten Sessions, Link verbraucht |
 
 Login-Fehler: `401 auth.bad_credentials` (gleich für unbekannten Nutzer und
 falsches Passwort).
 
+Reset-Links erzeugt nur der Admin per CLI (`kver reset-link <nutzername>`,
+siehe deploy.md). Sie zeigen auf `/reset#<token>`, gelten 72 h und einmal; ein
+neuer Link macht ältere desselben Nutzers ungültig. Das Token steht im
+Fragment und geht nur im POST-Body an die API, damit es nicht in Logs landet.
+
 ---
 
 ## Beiträge