Pierwsze logowanie i role

Flow logowania OTP

1. Użytkownik prosi o kod OTP przez POST /api/auth/request-otp.
2. Kod OTP trafia na email (lokalnie przez Mailpit).
3. Użytkownik weryfikuje kod przez POST /api/auth/verify-otp.
4. Aplikacja zwraca token JWT i profil użytkownika.

Ograniczenia OTP

• Kod ma 8 cyfr.
• Kod jest ważny 10 minut.
• Rate limit: maks. 3 żądania na 10 minut na email.
• Domena email musi występować w allowed_domains.

Nadawanie roli

• Jeśli email jest na liście developer_emails -> rola developer.
• W pozostałych przypadkach -> rola user.

Mapowanie roli odbywa się przy pierwszym utworzeniu użytkownika i jest potem zarządzane przez ustawienia/admina.

Checklista pierwszego uruchomienia

• Dodaj domeny firmowe w ustawieniach.
• Dodaj pierwsze emaile developerów.
• Potwierdź działanie dostawcy email (/api/settings/test-email).