Bound credentials, brake password changes, cap bug reports, page the user list, structure every error (B-94, SEC-54, SEC-55, API-09, API-15, API-16, API-19, API-21, API-28, API-33, REG-12, AUD-42)

- login and password-change fields: at most 256 characters
- wrong current password: per-user brake (5 free, 2s doubling to 300s), 429 even for the
  right password while locked; password_changed audited in the same transaction
- POST /bug-reports: 10 per IP per hour, consumed only by a stored report
- GET /admin/users: limit/after_id paging, the panel walks the pages
- 401/403/404/405/422/503 all answer {code, message, params}; the 422 omits the input
- static files revalidated on every use (Cache-Control: no-cache)
- error.* keys for the new codes in all seven languages

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/audit-log.md

@@ -275,7 +275,6 @@ flowchart LR
   sbagliata, nuova troppo corta) non scrive nulla. Nessuna logica rilegge la
   riga.
   *Codice:* `app/api/routes/users.py:change_password` · *Test:* —
-  *Stato:* da implementare (B-94) · *Oggi:* il cambio password non scrive
   alcun evento.
 
 - **[AUD-43]** `restore_gap_detected` — il controllo all'avvio ha trovato
@@ -627,7 +626,7 @@ flowchart LR
   `app/rounds/scheduler.py:RoundScheduler._tick`,
   `app/rounds/confirmation.py:_on_payout_confirmed`,
   `app/tx/confirmation.py:poll_once`, `app/tx/broadcast.py:bump_fee`
-  *Stato:* da implementare (B-92, B-94), per i due fatti che escono
+  *Stato:* da implementare (B-92), per user_registered
   dall'elenco · *Oggi:* la registrazione e il cambio password riuscito non
   producono alcuna riga.