hotfix(v1.8.1): Turnstile CAPTCHA, password policy, and security lockdown

.env.example

@@ -19,9 +19,17 @@ EXPO_PUBLIC_POSTHOG_API_KEY=phc_XXXXXXXXXXXXXXXXXXXX
 
 ### Invite HTTPS host (Firebase Hosting default domain, no protocol)
 # Used for WhatsApp share links: https://HOST/m/{id} and https://HOST/t/{id}
-# eas env:create --name EXPO_PUBLIC_INVITE_HOST --value "musapp-731e1.web.app" --environment production --visibility plain
+# eas env:create --name EXPO_PUBLIC_INVITE_HOST --value "musapp-731e1.web.app" --environment production --visibility plaintext
 EXPO_PUBLIC_INVITE_HOST=musapp-731e1.web.app
 
+### Cloudflare Turnstile (Dashboard → Turnstile → widget → Site Key)
+# Public site key only. The Secret Key goes in Supabase Auth → Bot and Abuse Protection, never here.
+# Hostnames on the widget (no https://): localhost (Expo Go / web) and musapp-731e1.web.app (release).
+# eas env:create production --name EXPO_PUBLIC_TURNSTILE_SITE_KEY --value "0x4AAAAA..." --type string --visibility plaintext
+EXPO_PUBLIC_TURNSTILE_SITE_KEY=0x4AAAAA_YOUR_SITE_KEY
+# Optional override of the production native page host (default: EXPO_PUBLIC_INVITE_HOST)
+# EXPO_PUBLIC_TURNSTILE_HOSTNAME=musapp-731e1.web.app
+
 ## CI/CD (secrets: NO van al bundle)
 
 ### GitHub Actions — repo secrets
@@ -39,7 +47,8 @@ EXPO_PUBLIC_INVITE_HOST=musapp-731e1.web.app
 
 ### EAS Build (cloud/CI)
 # Crea las mismas variables en EAS (Environment = production/preview/...) para que el build release arranque:
-# eas env:create production --name EXPO_PUBLIC_SUPABASE_URL --value "https://xxx.supabase.co" --type string --visibility plain
+# eas env:create production --name EXPO_PUBLIC_SUPABASE_URL --value "https://xxx.supabase.co" --type string --visibility plaintext
 # eas env:create production --name EXPO_PUBLIC_SUPABASE_ANON_KEY --value "..." --type string --visibility secret
-# eas env:create production --name EXPO_PUBLIC_SENTRY_DSN --value "https://..." --type string --visibility plain
-# eas env:create production --name EXPO_PUBLIC_POSTHOG_API_KEY --value "phc_..." --type string --visibility secret
+# eas env:create production --name EXPO_PUBLIC_SENTRY_DSN --value "https://..." --type string --visibility plaintext
+# eas env:create production --name EXPO_PUBLIC_POSTHOG_API_KEY --value "phc_..." --type string --visibility secret
+# eas env:create production --name EXPO_PUBLIC_TURNSTILE_SITE_KEY --value "0x4AAAAA..." --type string --visibility plaintext

README.md

@@ -57,11 +57,11 @@ El alcance se estructuró en **seis fases incrementales**, cada una con objetivo
 
 ```text
 Fase 1 ──► Core          Autenticación · Perfil · Partidas · Descubrir
-Fase 2 ──► Resultados    Notificaciones · Validación de marcadores · Reportes
-Fase 3 ──► Administración Panel de moderación · Analíticas · Auditoría
-Fase 4 ──► Torneos       Cuadros eliminatorios · Parejas · Sincronización en tiempo real
-Fase 5 ──► Marcador      Conteo en vivo local · Acceso sin registro
-Fase 6 ──► Ligas y stats Ligas round-robin / Elo · Estadísticas · Logros · Clasificación
+    Fase 2 ──► Resultados    Notificaciones · Validación de marcadores · Reportes
+    Fase 3 ──► Administración Panel de moderación · Analíticas · Auditoría
+    Fase 4 ──► Torneos       Cuadros eliminatorios · Parejas · Sincronización en tiempo real
+    Fase 5 ──► Marcador      Conteo en vivo local · Acceso sin registro
+    Fase 6 ──► Ligas y stats Ligas round-robin / Elo · Estadísticas · Logros · Clasificación
 ```
 
 ---
@@ -103,7 +103,7 @@ La aplicación sigue una **arquitectura cliente-servidor** con separación clara
                              │
 ┌────────────────────────────▼────────────────────────────────┐
 │              SERVICIOS EXTERNOS E INFRAESTRUCTURA            │
-│  Sentry · PostHog · Expo EAS · GitHub Actions · Push (FCM/APNs) │
+│  Sentry · PostHog · Expo EAS · GitHub Actions · Push · Turnstile │
 └─────────────────────────────────────────────────────────────┘
 ```
 
@@ -149,6 +149,7 @@ La aplicación sigue una **arquitectura cliente-servidor** con separación clara
 | 🛡️ **Sentry**                  | Monitorización de errores y rendimiento                          |
 | 📊 **PostHog**                 | Analítica de producto                                            |
 | 🔔 **Expo Push Notifications** | Notificaciones en Android (FCM) e iOS (APNs)                     |
+| 🧩 **Cloudflare Turnstile**    | CAPTCHA en login, registro y recuperación de contraseña          |
 | 🌿 **GitFlow**                 | Estrategia de ramas: `main`, `develop`, `feature/*`, `release/*` |
 
 ---
@@ -160,12 +161,15 @@ La aplicación sigue una **arquitectura cliente-servidor** con separación clara
 - Inicio de sesión con **Google**, **Apple ID** y **correo electrónico**
 - Registro con aceptación de términos legales y política de privacidad
 - Recuperación de contraseña y persistencia de sesión entre reinicios
+- **Cloudflare Turnstile** al enviar login, registro o recuperación (no en Google/Apple)
+- Contraseña con mayúscula, minúscula, dígito y símbolo; cambio desde el perfil con la contraseña actual
 - **Eliminación de cuenta** conforme al RGPD, con anonimización del historial compartido (partidas, ligas y torneos)
 - Cierre de sesión con confirmación explícita
 
 ### 👤 Perfil de usuario
 
 - Datos personales: nombre, teléfono con validación internacional, localidad y foto de perfil
+- Cambio de contraseña en edición de perfil (exige la actual)
 - Preferencias granulares de **notificaciones push** por tipo de evento
 - Historial personal de partidas con indicadores de victoria y derrota
 - Resumen de **estadísticas / ELO**, logros destacados y pantalla de stats detallada
@@ -185,7 +189,7 @@ La aplicación sigue una **arquitectura cliente-servidor** con separación clara
 
 ### 🔍 Descubrir
 
-- Listado de partidas, torneos y **ligas** públicas con ordenación por proximidad temporal
+- Listado de partidas, torneos y **ligas** públicas y **privadas con contraseña** (aparecen en Descubrir; la contraseña desbloquea la vista)
 - Filtros por tipo, ciudad, fecha, plazas libres, visibilidad y estado
 - Búsqueda por texto y paginación eficiente
 - Actualización en tiempo real sin recarga manual
@@ -236,6 +240,7 @@ La aplicación sigue una **arquitectura cliente-servidor** con separación clara
 ### 🔒 Seguridad y cumplimiento
 
 - Autenticación OAuth2 con flujo PKCE y tokens de corta duración
+- **Turnstile** (Cloudflare) como desafío anti-bots en los formularios de email
 - Políticas de acceso a datos por usuario y por rol en base de datos
 - Protección de datos personales: teléfono visible solo entre participantes de la misma partida
 - Cumplimiento RGPD: consentimiento, minimización de datos y derecho de supresión