feat(#118): création du mot de passe depuis le lien e-mail

Livre le parcours complet « lien e-mail → page web → mot de passe initial » :
- API : vérification du token (comportement neutre si invalide/expiré) et création du mot de passe ; tests associés.
- Front : route /create-password, appels verify-token et create-password, validation alignée sur le backend, retour login après succès.
- Web : stratégie d’URL en path pour que les deep links /create-password?token=… fonctionnent sans redirection vers #/login.

Refs: #118
Made-with: Cursor

frontend/lib/services/api/api_config.dart

@@ -44,6 +44,8 @@ class ApiConfig {
   static const String refreshToken = '/auth/refresh';
   static const String authMe = '/auth/me';
   static const String changePasswordRequired = '/auth/change-password-required';
+  static const String verifyCreatePasswordToken = '/auth/verify-token';
+  static const String createPassword = '/auth/create-password';
 
   // Users endpoints
   static const String users = '/users';