fix: login 2FA bloque sans erreur BUG-069 (challenge montait dans .login-box inexistant -> .login-card + erreur visible)

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.16.1**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.16.2**.
 
 ---
 
@@ -14,6 +14,24 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.16.2] — 2026-09-22
+
+### Corrigé
+
+- **BUG-069 - Login 2FA bloqué sans erreur** : après user+mot de passe corrects
+  sur un compte avec 2FA, la page de login restait affichée sans erreur et le
+  challenge MFA n'apparaissait jamais. Cause : `showMfaChallenge`
+  (`frontend/js/auth.js`) montait le challenge dans `.login-box`, inexistant
+  dans `index.html` (marquage réel : `#login-screen > .login-card`) →
+  `return` silencieux. Correctif : montage dans `.login-card` (repli
+  `#login-screen`) + erreur visible (`mfa.challenge_unavailable`, FR/EN) au
+  lieu d'un retour silencieux si le point de montage manque. Vérifié de bout
+  en bout au navigateur (Playwright, instance Docker) : challenge affiché,
+  code erroné → erreur, code valide → connecté. Tests :
+  `tests/frontend/mfa-settings.test.mjs` (+2 contrôles d'ancrage DOM).
+
+---
+
 ## [2.16.1] — 2026-09-22
 
 ### Corrigé