++ cambio password obbligato: al primo accesso del sorvegliante dice "Password temporanea", non "Ripristino da backup"

users.password_temporanea distingue la password provvisoria data
dall'amministratore (creazione del gruppo, "Nuova password temporanea")
dal ripristino da backup. Migrazione 000040; si spegne a password
cambiata, il ripristino e l'import XML la spengono per tutti.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

HANDOFF.md

@@ -210,6 +210,15 @@ Decisioni successive dell'utente (20 ottobre 2026):
   obbligatoria `users.email`. XML: niente più `<username>` né
   `<disattivato_at>`; da un file vecchio non si importano le utenze
   disattivate né i gruppi con `<sciolto_at>`.
+- **Primo accesso del sorvegliante**: la pagina del cambio password obbligato
+  diceva sempre "Ripristino da backup eseguito" (era l'unico motivo
+  previsto). Ora `users.password_temporanea` (migrazione `000040`, che la
+  accende per i sorveglianti che non hanno ancora cambiato la password)
+  distingue la password provvisoria data dall'amministratore — creazione del
+  gruppo, "Nuova password temporanea" — e la pagina dice "Password
+  temporanea". Si spegne a password cambiata (pagina obbligatoria o
+  profilo); il ripristino e l'import XML la spengono per tutti, perché lì il
+  motivo è il ripristino.
 - **Anche i membri si segnalano**: `Proclamatore::gruppo_etichetta`
   ("Gruppo Zisa" / "Sorvegliante del gruppo Zisa") come badge nell'elenco
   (più il filtro *In un gruppo di servizio*, `filtroStato=gruppo`) e in testa