Bug compagnon de api PR #57 : crypto.randomBytes(48).toString hex = 96
caracteres, pas 64. La validation JS cote site rejetait tous les vrais
tokens avec 'Lien invalide ou incomplet'.
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
Compagnon de api PR #55 (bridge lead -> user).
Flow:
- Lead clique email setup compte
- Arrive sur /setup-password.html?token=XXX
- JS POST /auth/lookup-setup-token pre-remplit email + firstname + ref
- Form 2 password avec validation (min 8 majuscule chiffre)
- Submit POST /auth/setup-from-lead -> user cree + JWT
- Affiche success + lien vers application.html pour download app
Design: card centree, MVA gold/navy, mobile responsive, vanilla JS.
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
