SPA: регистрация и вход

Типовая цепочка для одностраничного приложения: создать пользователя, подтвердить email, войти и читать профиль с JWT.

1. POST /api/v1/auth/register — email, пароль, согласия по политике.
2. POST /api/v1/auth/email/verify — код из письма (Public Auth и SMTP должны быть настроены в админке).
3. POST /api/v1/auth/login — получить access_token и refresh_token.
4. Запросы к профилю: заголовок Authorization: Bearer <access_token>, GET /api/v1/auth/me.
5. Перед истечением access — POST /token/refresh.

Обновление профиля и MFA — см. раздел Auth.