DN-004 — Quên mật khẩu (Forgot Password)

1.Tổng quan & phạm vi

Mục đích: Cho phép user quên mật khẩu tự phục hồi mà không cần hỗ trợ: nhập email đăng nhập → hệ thống gửi link đặt lại mật khẩu (token một lần, hiệu lực 15 phút) → user mở link, đặt mật khẩu mới → mọi phiên cũ bị đăng xuất → đăng nhập lại tại DN-003.

Trong phạm vi (In scope)

• Form yêu cầu link đặt lại mật khẩu (1 field email duy nhất).
• Response generic — không tiết lộ email có tồn tại trong hệ thống hay không.
• Trang đặt mật khẩu mới từ link email (route /reset-password?token=... — xem OQ-01 về việc tách ID màn).
• Rate limit chống lạm dụng: cooldown gửi lại 60s, tối đa 5 yêu cầu/giờ/email.

Ngoài phạm vi (Out of scope)

• Khôi phục khi mất quyền truy cập email — không có UI tự phục hồi: thành viên liên hệ trực tiếp DN Admin công ty, Admin đặt lại mật khẩu qua DN-008 (đăng nhập không cần hộp thư email).
• Đổi email đăng nhập (DN-005) — đã loại bỏ hoàn toàn.
• Đổi mật khẩu khi đang đăng nhập (thuộc màn cài đặt tài khoản, không phải DN-004).

2.User story & Acceptance criteria

3.Luồng nghiệp vụ

4.UI elements

Layout: card căn giữa, max-width 440px (đồng bộ DN-003), nền --neutral. Tham chiếu trực tiếp prototype DN-004 — dùng đúng design tokens trong tokens.css.

4.1 · Form yêu cầu (mặc định)

4.2 · Màn "Kiểm tra hộp thư" (Success)

4.3 · Trang "Đặt mật khẩu mới" (từ link email — xem OQ-01)

5.Validation & thông báo lỗi

6.Business rules

7.API contract (đề xuất)

7.1 · Yêu cầu link đặt lại mật khẩu

POST /api/v1/auth/forgot-password
{ "email": "anhtuan@hathanhpccc.vn" }   // lowercase, trim

// 202 Accepted — LUÔN trả giống nhau, có hay không có tài khoản (BR-02)
{ "message": "OK", "resend_cooldown": 60 }

// Lỗi
429 RATE_LIMITED → { "retry_after_seconds": 1800 }   // >5 lần/giờ/email
422 VALIDATION_ERROR → email sai định dạng

7.2 · Đặt mật khẩu mới

POST /api/v1/auth/reset-password
{ "token": "rp_9f3k...", "new_password": "********" }

// 200 OK — mật khẩu đã đổi, mọi phiên cũ bị thu hồi (BR-04)
{ "message": "PASSWORD_RESET_OK" }

// Lỗi
400 TOKEN_INVALID | TOKEN_EXPIRED | TOKEN_USED → "Link đã hết hạn hoặc đã được sử dụng"
422 VALIDATION_ERROR → { "errors": { "new_password": "..." } }

8.Trạng thái màn hình (UI states)

9.Yêu cầu phi chức năng

• Bảo mật: HTTPS bắt buộc; token hash trong DB; response đồng đều (BR-02); không log token/mật khẩu; link email dạng HTTPS tuyệt đối tới app.pccctrace.vn.
• Email delivery: gửi trong ≤60 giây; sender noreply@pccctrace.vn có SPF/DKIM/DMARC để tránh rơi Spam.
• Accessibility: label gắn for/id; lỗi có aria-describedby + aria-invalid; focus ring rõ.
• Ngôn ngữ: 100% tiếng Việt, kể cả nội dung email.
• Đơn giản hoá: quy mô 30 DN — không captcha; rate limit theo email + IP là đủ.

10.Edge cases

11.Câu hỏi mở — cần chốt trước khi dev

12.Changelog