Admin : redemander le code TOTP avant une action sensible si la dernière saisie date de plus de 10 minutes #528

Contexte

Epic : #5
Admin-Web › Sécurité
Maquette : sans objet — règle décrite dans Admin-Web › Sécurité.

Découverte de Marco sur #341 (PR #499), Inbox, 2026-10-16 : la règle n'est pas dans le socle #52.

Comportement attendu

Avant un changement de rôle, une suppression ou une suspension, l'admin redemande le code TOTP si la dernière saisie date de plus de 10 minutes ; l'API refuse l'action sinon.

Critères d'acceptation

• Action sensible après 10 min sans saisie : code redemandé, action refusée sans lui (test API)