feat: аккаунты по почте с подтверждением, сбросом пароля и синхронизацией прогресса

API аккаунтов на чистой стандартной библиотеке Python (server/splitapi):
- регистрация по почте: пароль задаётся по ссылке из письма, аккаунт создаётся только после подтверждения
- вход, выход, сброс пароля по почте (токены одноразовые, в базе только SHA-256), удаление аккаунта
- пароли scrypt, лимиты попыток по паре «адрес + IP», IP и аккаунту, защита от CSRF
- хранение прогресса пользователя с оптимистичной блокировкой версии
- SMTP через переменные окружения; без SMTP на публичном адресе API не стартует

Клиент: public/auth.js (вход, регистрация, сброс, синхронизация), public/sync.js
(чистое слияние прогресса). Без API сайт работает как раньше.

Развёртывание: Dockerfile.api, сервис splitapi в docker-compose, проксирование /api/
в nginx с ограничением частоты, deploy/install-api-debian.sh (systemd), .env.example.

Тесты: 216 для бэкенда (unittest, покрытие около 97%), 16 для клиентского слияния.
Документация: раздел «Аккаунты и почта» в docs/DEPLOY.md, раздел 9 в docs/ИНСТРУКЦИЯ.md.

public/index.html

@@ -20,6 +20,7 @@
     <section class="view" id="v-lessons"></section>
     <section class="view" id="v-practice"></section>
     <section class="view" id="v-keyboard"></section>
+    <section class="view" id="v-account"></section>
     <section class="view" id="v-train"></section>
     <section class="view" id="v-result"></section>
     <section class="view" id="v-stats"></section>
@@ -30,6 +31,8 @@
 
   <script src="data.js"></script>
   <script src="vial.js"></script>
+  <script src="sync.js"></script>
+  <script src="auth.js"></script>
   <script src="app.js"></script>
 </body>
 </html>