Гейт is_active + first-login-политик внутри _issue_session_tokens (sessions/guard.py):
деактивированный аккаунт и аккаунт с невыполненным принуждением больше не получают
сессию ни на одном из 19 путей выдачи, включая SSO, который мятил мимо гейта дословной
копией тела минтера. Отказ по флагу несёт следующий шаг (challenge_token + requires),
на браузерных путях — редиректом на фронт, а не JSON-телом в адресной строке.

Закрывает #90 (обход принуждений 2ФА/смены пароля) и #92 (вход деактивированного).