feat(auth): SA4 — server-side session revocation via per-user session epoch

Signed client-side session cookies had no server-side kill switch: logout + password
reset couldn't evict a stolen/copied cookie (valid until expiry). Add User.session_epoch
(migration 0053), record it in the cookie at every login, and reject in current_user any
cookie whose recorded epoch is behind the account's current one.
- Bump the epoch on: password reset (kills ALL sessions — a reset is a compromise response),
  password change + a new 'Log out other sessions' action (both re-stamp the CURRENT cookie
  so the caller stays signed in, evicting only the others).
- Per-account epoch map in the session so one account's revocation doesn't evict the other
  signed-in accounts in the same browser wallet.
- Missing epoch (pre-SA4 cookie) is treated as 0, so the first bump revokes grandfathered
  sessions too.
- New POST /auth/logout-others + a Settings → Account 'Active sessions' button (trilingual).

frontend/src/i18n/locales/de/settings.json

@@ -97,6 +97,15 @@
       "saving": "Speichern…",
       "saved": "Passwort für {{email}} aktualisiert.",
       "failed": "Das Passwort konnte nicht aktualisiert werden."
+    },
+    "sessions": {
+      "title": "Aktive Sitzungen",
+      "hint": "Diese Kontoanmeldung überall sonst abmelden — praktisch, wenn du auf einem geteilten oder verlorenen Gerät angemeldet geblieben bist. Hier bleibst du angemeldet.",
+      "action": "Andere Sitzungen abmelden",
+      "confirmTitle": "Andere Sitzungen abmelden?",
+      "confirmBody": "Damit wirst du in allen anderen Browsern und auf allen anderen Geräten abgemeldet. Hier bleibst du angemeldet.",
+      "done": "Von allen anderen Sitzungen abgemeldet.",
+      "failed": "Andere Sitzungen konnten nicht abgemeldet werden. Bitte versuche es erneut."
     }
   },
   "demo": {

frontend/src/i18n/locales/en/settings.json

@@ -97,6 +97,15 @@
       "saving": "Saving…",
       "saved": "Password updated for {{email}}.",
       "failed": "Couldn't update the password."
+    },
+    "sessions": {
+      "title": "Active sessions",
+      "hint": "Sign this account out everywhere else — handy if you left it signed in on a shared or lost device. You stay signed in here.",
+      "action": "Log out other sessions",
+      "confirmTitle": "Log out other sessions?",
+      "confirmBody": "This signs you out of every other browser and device. You'll stay signed in here.",
+      "done": "Signed out of all other sessions.",
+      "failed": "Couldn't sign out other sessions. Please try again."
     }
   },
   "demo": {

frontend/src/i18n/locales/hu/settings.json

@@ -97,6 +97,15 @@
       "saving": "Mentés…",
       "saved": "Jelszó frissítve ehhez: {{email}}.",
       "failed": "Nem sikerült frissíteni a jelszót."
+    },
+    "sessions": {
+      "title": "Aktív munkamenetek",
+      "hint": "Jelentkeztesd ki ezt a fiókot minden más helyen — hasznos, ha megosztott vagy elveszett eszközön maradt bejelentkezve. Itt bejelentkezve maradsz.",
+      "action": "Kijelentkezés máshonnan",
+      "confirmTitle": "Kijelentkezés a többi munkamenetből?",
+      "confirmBody": "Ez kijelentkeztet minden más böngészőből és eszközről. Itt bejelentkezve maradsz.",
+      "done": "Kijelentkeztetve minden más munkamenetből.",
+      "failed": "Nem sikerült kijelentkeztetni a többi munkamenetet. Próbáld újra."
     }
   },
   "demo": {