POST/api/auth/reset-password

Nastavte heslo znovu na základě platného resetovacího tokenu.

`POST /api/auth/reset-password` resetuje heslo pomocí platného resetovacího tokenu. Tato trasa nevyžaduje existující přihlášení, protože je určena právě pro uživatele, kteří již nemohou použít své dosavadní heslo. V těle požadavku se předávají `token` a `password`. Token pochází z dříve odeslaného resetovacího e-mailu; nové heslo musí splňovat minimální požadavky platné na straně serveru. Volání není idempotentní. Po úspěšném resetu je použitý token spotřebován, respektive není určen k další změně hesla. Klient by proto neměl opakovat nejasně přerušený požadavek v rychlé smyčce. Místo toho má zobrazit výsledek a v případě potřeby nechat uživatele zahájit nový reset prostřednictvím funkce Forgot-Password. Neplatný, prošlý nebo již použitý token, stejně jako heslo, které nesplňuje minimální požadavky, vede k `400 VALIDATION_ERROR`. Veřejná chybová zpráva by neměla odhalovat žádné další podrobnosti o účtu. Token a nové heslo se nesmí objevit v URL parametrech, ani v analytických nástrojích, veřejných logách nebo snímcích obrazovky pro podporu. Požadavek patří výhradně do formulářového procesu chráněného protokolem HTTPS. Úspěšná odpověď zní `{"ok":true}`. Potvrzuje provedenou změnu hesla, nikoli automaticky nové přihlášení. Po resetu by se měl uživatel běžně přihlásit novým heslem. Se stávajícími relacemi je třeba zacházet podle skutečné logiky backendu; dokumentace nesmí tvrdit hromadné odhlášení ze všech zařízení, pokud to není prokázáno. Doložený živý test zahrnuje negativní případ s neplatným tokenem a očekávaným statusem 400. Skutečný úspěšný reset nebyl pro toto ověření samostatně proveden s produkčním tokenem. Text musí tuto hranici výslovně zachovat a nesmí z podobnosti s Login nebo Forgot Password odvozovat údajný end-to-end úspěch.

{"token":"Token z resetovacího e-mailu","password":"NovéBezpečnéHeslo!"}

{"ok":true}