Emite un tunnel token NUEVO para esta máquina. El email es dato de contacto, nunca la cuenta.

lmcp-api#229: el endpoint no tiene autenticación y el email nadie lo verificó. Escribirlo en tunnel_tokens.email —la columna que leía la resolución por email (el claim del pre-token y el conector lmcp-pre-, retirada en #358)— dejaba que cualquiera que supiera una dirección la pre-registrara: la resolución del dueño caía en el token del atacante, o daba 409 (ambigua) si el dueño ya tenía una máquina, y un dueño nuevo recibía recovery sin token. Ahora el token sale con email NULL y la dirección va a contact_email (#226: la ve sólo quien tiene el token; ninguna resolución la lee; nada la promueve).

La respuesta es SIEMPRE {token, email} con un token recién emitido, tenga o no relay esa dirección: el endpoint ya no lee filas existentes, así que no hay oráculo de enumeración ni forma de devolver un token ajeno (F-17, #3352). El cliente Mac clasifica por token antes que por recovery (CloudTunnel.classify), así que lo guarda como en un primer registro.