Desafio ALTCHA para entrar, cadastrar ou recuperar a senha

Sem login. Devolve um desafio de prova de trabalho [ALTCHA](https://altcha.org) (protocolo v2, `PBKDF2/SHA-256`), assinado pela API, válido por 5 minutos e de uso único. O widget `altcha` resolve no navegador (cerca de 1 s num celular médio, sem chamada a terceiros) e entrega o payload que vai no campo `altcha` de `POST /api/auth/login`, `POST /api/auth/register` e `POST /api/auth/recovery-password`: os três exigem um desafio resolvido em **toda** chamada. Cada envio gasta o seu (peça outro para tentar de novo). Limite de 300 desafios por IP em 15 minutos (429). Integração de servidor não usa login: use uma chave de API.