Añade Cloudflare Turnstile (captcha) a login, registro y recuperación

- Backend: helper verify_turnstile en _base (verifica el token contra
  challenges.cloudflare.com/siteverify; fail-closed ante error de red; si no hay
  secreto configurado, no bloquea). Se exige en el POST de login_view,
  register_view y recover_account_view -> rechazo con mensaje si falla.
- settings: TURNSTILE_SITE_KEY / TURNSTILE_SECRET_KEY desde .env (el secreto NO
  se commitea). La clave de sitio se expone a las plantillas por el context
  processor (TURNSTILE_SITE_KEY).
- Frontend: hook useTurnstile (carga el script de Cloudflare una vez y renderiza
  el widget, devuelve el token). LoginForm/RegisterForm/RecoverForm incluyen el
  widget, mandan cf-turnstile-response y deshabilitan el submit hasta tener token.
  El sitekey llega por data-sitekey en el div de montaje.

Verificado: sin token los 3 POST se rechazan; siteverify acepta la clave secreta
(error invalid-input-response con token falso, no invalid-input-secret).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

frontend/src/components/RecoverForm.tsx

@@ -1,8 +1,10 @@
 import { useState } from 'react'
+import { useTurnstile } from '../turnstile'
 
 interface Props {
   recoverUrl: string
   csrfToken: string
+  siteKey: string
 }
 
 const OPTIONS = [
@@ -11,7 +13,8 @@ const OPTIONS = [
   { value: 'activation', label: 'Enlace de activación' },
 ] as const
 
-export function RecoverForm({ recoverUrl, csrfToken }: Props) {
+export function RecoverForm({ recoverUrl, csrfToken, siteKey }: Props) {
+  const { ref: turnstileRef, token: captchaToken } = useTurnstile(siteKey)
   const [type, setType] = useState<string>('password')
   const [email, setEmail] = useState('')
   const [busy, setBusy] = useState(false)
@@ -27,6 +30,7 @@ export function RecoverForm({ recoverUrl, csrfToken }: Props) {
     body.set('type', type)
     body.set('email', email.trim())
     body.set('csrfmiddlewaretoken', csrfToken)
+    body.set('cf-turnstile-response', captchaToken)
 
     try {
       const resp = await fetch(recoverUrl, {
@@ -78,7 +82,16 @@ export function RecoverForm({ recoverUrl, csrfToken }: Props) {
             </tr>
             <tr>
               <td>
-                <button type="submit" className="recover-button" disabled={busy}>
+                <div ref={turnstileRef} className="cf-turnstile" style={{ display: 'inline-block' }} />
+              </td>
+            </tr>
+            <tr>
+              <td>
+                <button
+                  type="submit"
+                  className="recover-button"
+                  disabled={busy || (!!siteKey && !captchaToken)}
+                >
                   {busy ? 'Enviando…' : 'Solicitar'}
                 </button>
               </td>