El login exige un correo, no un nombre de cuenta

Con Battle.net se entra con el correo, pero el campo aceptaba cualquier cosa: el
<form> lleva `noValidate`, así que el navegador no comprobaba su propio
type="email", y el servidor solo miraba que no estuviera vacío. Entrar con «15#1»
llegaba hasta `authenticate` y devolvía «Correo o contraseña incorrectos», que
manda a buscar el fallo donde no está.

Se valida en el servidor (autoritativo) y en el cliente (aviso inmediato), con un
mensaje propio: «Introduce tu correo electrónico, no el nombre de la cuenta.».

`EMAIL_RE` es a propósito permisiva —solo exige una @ con algo a cada lado, sin
punto en el dominio ni restricción a Gmail—: el registro solo admite Gmail HOY,
pero de las 17 cuentas Battle.net que existen, 16 NO son de Gmail (INNA@INNA.CL,
y hasta Q@Q sin dominio). Validar de más al entrar las habría dejado fuera a
todas. Comprobado contra los 14 correos reales: 0 bloqueadas, y rechaza 15#1,
17#1 y demás nombres de cuenta.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

web-next/app/api/auth/login/route.ts

@@ -2,6 +2,7 @@ import { authenticate, getGameAccounts } from '@/lib/auth'
 import { getSession } from '@/lib/session'
 import { setGameAccountSession } from '@/lib/account-session'
 import { verifyTurnstile } from '@/lib/turnstile'
+import { EMAIL_RE } from '@/lib/bnet'
 
 export async function POST(request: Request) {
   let email = ''
@@ -24,6 +25,10 @@ export async function POST(request: Request) {
   if (!email || !password) {
     return Response.json({ success: false, error: 'missingFields' })
   }
+  // Con Battle.net se entra con el CORREO, no con la cuenta de juego («15#1»).
+  if (!EMAIL_RE.test(email)) {
+    return Response.json({ success: false, error: 'notAnEmail' })
+  }
 
   const account = await authenticate(email, password)
   if (!account) {