Feature: conectar recuperación de contraseña con la API

Las pantallas de "olvidé mi contraseña" y "restablecer contraseña" estaban maquetadas pero el envío era simulado. Ahora llaman a POST /api/auth/olvide-contrasenia y POST /api/auth/restablecer-contrasenia por el proxy, con estado de carga, mensajes por caso (rate limit, enlace vencido) y validación de la contraseña nueva (8-100, coincidencia) en el formulario.