Define um novo PIN sem exigir o atual — fluxo "esqueci a senha".
Também desbloqueia um PIN em lockout (temporário ou permanente)
e funciona mesmo que a conta ainda não tenha PIN (cria).

⚠️ Este endpoint não valida a identidade do titular. A autenticação
do usuário (biometria, OTP, etc.) é responsabilidade do caller
(BFF/app), que deve confirmar quem está pedindo o reset antes de
chamar. Toda chamada fica registrada em banking_account_pin_attempts
com outcome RESET (IP + user-agent).

O PIN novo vai no header X-Account-Pin — nunca no body ou query
string (o header é redigido nos logs).