Agregar firmas externas seguras y mejorar entregabilidad de correos

DEPLOY_WEB.md

@@ -27,31 +27,30 @@
    - `git fetch origin main`
    - `git reset --hard origin/main`
    - `rm -rf /opt/apps/linkedsign/source/android /opt/apps/linkedsign/source/android_react /opt/apps/linkedsign/source/android_firma_electronica.html`
-8. Recompila frontend:
-   - `cd /opt/apps/linkedsign/source/frontend`
-   - `npm ci`
-   - `npm run build`
-9. Publica frontend:
-   - `rm -rf /opt/apps/linkedsign/frontend/*`
-   - `cp -r dist /opt/apps/linkedsign/frontend/`
-   - `cp server.js /opt/apps/linkedsign/frontend/`
-10. Publica backend:
-   - `rm -rf /opt/apps/linkedsign/backend/*`
-   - `cp -r /opt/apps/linkedsign/source/backend/* /opt/apps/linkedsign/backend/`
-   - `cd /opt/apps/linkedsign/backend`
-   - `npm ci --omit=dev`
-11. Reinicia servicios:
+8. En producción usa el script seguro:
+   - `cd /opt/apps/linkedsign/source`
+   - `bash scripts/deploy_prod_web.sh`
+9. Reinicia servicios:
    - `sudo systemctl restart linkedsign-frontend`
    - `sudo systemctl restart linkedsign-backend`
-12. Limpia archivos `.md` en producción:
+10. Limpia archivos `.md` en producción:
    - `find /opt/apps/linkedsign -type f -iname '*.md' -delete`
-13. Verifica:
+11. Verifica:
    - `curl -I http://127.0.0.1:3000`
    - `curl http://127.0.0.1:4000/health`
 
 ## Notas
 
-- Si cambias variables de entorno, actualiza `/opt/apps/linkedsign/backend/.env`.
+- Nunca copies `.env` desde `dev` a `prod`.
+- El archivo runtime de producción es:
+  - `/opt/apps/linkedsign/backend/.env`
+- Si cambias variables de entorno, actualiza solo ese archivo runtime.
 - Si cambias rutas del APK o storage, revisa también `PRODUCCION.md`.
 - En producción no debe quedar código fuente Android; solo el APK release en `/opt/apps/linkedsign/android/apk/`.
 - Si en el despliegue hay cambios Android, recuerda que a producción solo pasa el `APK release` versionado; no el proyecto Android completo.
+- El deploy web no debe tocar ni reemplazar:
+  - `/opt/apps/linkedsign/backend/.env`
+  - `/opt/apps/linkedsign/storage/`
+  - `/opt/apps/linkedsign/logs/`
+  - `/opt/apps/linkedsign/android/apk/`
+  - permisos hardened de producción