Request a password reset link. Always returns 200 (no email leak).

Request a password reset link. Always returns 200 (no email leak).

Timing-equalised : tout le travail (user lookup, token persist, SMTP send)
est déporté en background thread pour que la réponse HTTP soit O(parse +
return) constant, quel que soit l'existence du compte. Sinon une
enumeration via timing attack reste possible malgré le message générique.