Manda un código de un solo uso al correo.

• Método: `POST`
• Ruta: `/v1/auth/email/start`
• Autenticación: `propia`

El correo como método de entrada (C23), con la misma forma y las mismas reglas que `POST /v1/auth/whatsapp/start`: 202 siempre que el correo tenga forma de correo, sin decir si ya tiene cuenta; reenviar dentro de la vigencia reenvía el mismo código; Turnstile se exige exactamente cuando hay secreto para validarlo; el cuarto envío responde 429.
Sirve para tres cosas y las tres pasan por el mismo par de endpoints: entrar o crear cuenta (sin sesión), verificar el correo de contacto del perfil (con sesión, y el correo es el del perfil) y vincular un correo como identidad (con sesión, seguido de `POST /v1/me/identities`). El código no sabe para qué se pidió: lo decide quién lo presenta y dónde.
Sin proveedor de correo configurado en el ambiente responde 503, igual que WhatsApp sin plantilla aprobada: nunca manda el código al log de un ambiente real.

Respuestas

• `202`: Aceptado; el código va en camino.
• `400`: El correo no tiene forma de correo.
• `403`: Falta o no vale el token de Turnstile, donde se exige.
• `429`: Demasiados envíos al mismo correo dentro de la vigencia.
• `503`: El ambiente no tiene proveedor de correo: falta `auth:correo` en KV `CONFIG` (remitente y plantilla) o el secreto del proveedor en `wrangler secret`, con el nombre que la ruta declare al construirse.
• `default`: referencia compartida: #/components/responses/Problem