Skip to content

Feature: forzar cambio de contraseña en cuentas con contraseña temporal

Agustín Cantero requested to merge pft/feature/forzar-cambio-contrasenia-temporal into dev

Fuerza el cambio de contraseña en cuentas con contraseña temporal, y mejora los emails transaccionales.

  • Enforcement de PENDIENTE_DE_ACTIVACION: JwtRequestFilter ahora bloquea con 403 cualquier endpoint fuera de una whitelist mínima (/auth/me, /auth/logout, cambiar la propia contraseña) mientras la cuenta no haya elegido una contraseña propia. Antes era solo una restricción de UI en el frontend.
  • Reset de contraseña por un admin y "olvidé mi contraseña": ahora transicionan correctamente el estado (ACTIVO ⇄ PENDIENTE_DE_ACTIVACION) en vez de dejarlo inconsistente, se agregó también un guard para no reactivar silenciosamente cuentas inactivas.
  • Renombrado de rutas: /auth/olvide-contrasenia → /auth/forgot-password, /auth/restablecer-contrasenia → /auth/reset-password (sin cambios de contrato). El link del mail al frontend también se actualizó, necesita tener la página /reset-password lista antes de este deploy.
  • Emails con HTML: los 6 emails transaccionales ahora mandan también htmlContent (multipart, con el texto plano de fallback), usando las plantillas provistas por diseño.

Merge request reports