Admin : redemander le code TOTP avant de modifier un réglage (A-11) #535

Contexte

Epic : #5
Admin-Web › Sécurité · Admin-Web › A-11 · A-11 · D-087
Maquette : sans objet — règle décrite dans Admin-Web › Sécurité ; A-11 suit les modèles d'Ecrans › Admin web.

Question de CODE (Marco) pendant #528, Inbox, 2026-10-19. Admin-Web › Sécurité (validé) demande une nouvelle vérification du code TOTP « si la dernière date de plus de 10 min avant une action sensible (rôle, suppression ou suspension d'un compte, réglages) ». #528 ne cite que les actions sur les comptes, et son opérateur a gardé les réglages hors de sa PR. Ce ticket porte les réglages, pour que le backlog suive la page.

Bloqué par #528 (la garde de second facteur récent qu'il écrit) et par #348 (les routes de réglages de A-11, PR #500, non fusionnée).

Si Ilan préfère retirer les réglages de la règle, la page Admin-Web est à corriger par DESIGN et ce ticket se ferme sans suite.

Comportement attendu

• La modification d'un réglage (routes d'écriture de settings de A-11) passe par la même garde que Admin : redemander le code TOTP avant une action sensible si la dernière saisie date de plus de 10 minutes #528 : si la dernière saisie du code TOTP date de plus de 10 minutes, l'API refuse l'écriture avec la même erreur que Admin : redemander le code TOTP avant une action sensible si la dernière saisie date de plus de 10 minutes #528, et l'admin redemande le code puis rejoue l'enregistrement.
• La lecture des réglages et du journal (A-12) n'est pas concernée.
• Aucune seconde implémentation de la garde ni du délai.

Critères d'acceptation

• Test API : modifier un réglage plus de 10 minutes après la dernière saisie du code est refusé, avec la même erreur que les actions de Admin : redemander le code TOTP avant une action sensible si la dernière saisie date de plus de 10 minutes #528 ; accepté juste après une nouvelle saisie
• A-11 : l'enregistrement d'un réglage redemande le code quand l'API le refuse, puis aboutit sans ressaisie du réglage
• La lecture de A-11 et de A-12 reste possible sans nouvelle saisie