Set-password / primer acceso

TL;DR

/auth/set-password es la pantalla final de cualquier invite — staff o jugador, masivo o individual. Pide contraseña, la valida (mínimo 8 caracteres, no en lista de triviales) y deja al usuario logueado en su portal.

Cómo lo usa el staff

Acceso y permisos

Pública, pero requiere que la sesión del invite esté activa. Si el link expiró o ya se usó, la pantalla muestra “Sesión expirada. Pedí un nuevo link de invitación.”

Flujo del usuario (3 pasos)

1. Abrís el link del mail.
2. Escribís tu contraseña dos veces (mínimo 8 caracteres, evitá las obvias como password o 12345678).
3. Te logueás automático y caés en tu portal — /player para jugadores, /dashboard para staff.

FAQ / casos límite

• Contraseña con menos de 8 caracteres: rechazada.
• Contraseña obvia (lista corta de las más usadas): rechazada con “Elegí una contraseña menos común.”
• Link expirado: la pantalla muestra “Sesión expirada. Pedí un nuevo link de invitación.” → tenés que pedirle al staff que te invite de nuevo.

Cómo lo ve el jugador

• Ve dos inputs (contraseña + confirmar) + botón de submit.
• Tras submit exitoso, queda logueado y redirigido a /player. Si todavía no aceptó los términos obligatorios, te los muestra antes del portal.
• Errores en castellano simple — sin texto técnico.

Limitaciones / roadmap

• Si te olvidás la contraseña después, usá “Olvidé mi contraseña” en el login.