Reusa /auth/confirm sin tocarlo — ya escucha PASSWORD_RECOVERY (lo armamos para invitaciones, Supabase emite el mismo evento para recovery). Antes, cualquiera que olvidara su contraseña dependía de que el director la reseteara a mano por SQL. Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>