POST /auth/api/password/reset/

POST /auth/api/password/reset/ — { "email": "..." } Envoie un email avec un lien vers FRONTEND_URL/reset-password (jeuxcracks.fr, jamais api.jeuxcracks.fr — voir user_auth.password_reset.build_reset_link).

Toujours 200 générique, que l'email existe ou non : ne jamais laisser un attaquant deviner quels emails sont inscrits (énumération de comptes).

Désactivé tant que settings.PASSWORD_RESET_EMAIL_ENABLED est False (l'envoi d'email est cassé/rate-limité en ce moment) — mieux vaut refuser clairement que mentir en prétendant qu'un email va arriver. Le bouton "Générer un lien de reset" dans l'admin (superuser) reste la seule voie fonctionnelle jusqu'à réactivation.