Reset 2FA (TOTP secret + recovery codes) of a user.

Reset 2FA (TOTP secret + recovery codes) of a user.

Ticket TK-20260526-0010 (CEO incident 2026-05-26) : avant ce endpoint,
quand un user avait perdu son secret TOTP + consommé tous ses recovery
codes, le SEUL recours était un bypass SSH `flask shell` direct sur la
DB — action **non audit-trailée applicativement**, ce qui contournait
le contrat de sécurité (NIST SP 800-63B §5.2.8 + ISO 27001 A.5.16).

R336 (2026-05-28) : retrait de `@step_up_required` qui créait un
**chicken-and-egg** soft-lock — si TOUS les admins d'une org avaient
perdu leur 2FA simultanément (ex: vol de téléphone du seul admin),
plus PERSONNE ne pouvait reset le 2FA puisque le step-up demandait
précisément ce 2FA. Bug observé 2026-05-27 sur le compte
backonsteam@gmail.com : reset password OK mais 2FA perdu sans
possibilité d'admin reset (l'admin amine240601 avait lui-même TOTP
bloqué). Recours = SSH SQL direct (cf historique CEO incident).

Défense en profondeur conservée :
- `admin:all` (privilege check fort)
- Self-reset BLOQUÉ (ligne ci-dessous + service.py:1032)
- Owner protection (service.py:1045 — un admin non-owner ne peut pas
  reset le 2FA du owner)
- `reason` obligatoire 5-500 char → audit trail explicit
- Notification email + in-app au user cible (post-fix R336)
- Notification au owner de l'org si différent de l'acteur
- Tous les tokens/sessions actifs de l'user cible sont révoqués

Body attendu :
```
{"reason": "string (5-500 char) — motif obligatoire pour audit"}
```

Permissions requises : admin:all