feat: version 2.7.0 -- menu Contraseñas (repositorio de credenciales privado)

Nuevo modulo backend/src/modules/vault/: contraseña y notas cifradas
en el servidor (AES-256-GCM, mismo mecanismo ya usado para la clave
SMTP). Acceso al menu protegido con un PIN de 4 digitos independiente
del login (token corto propio, header X-Vault-Token, nunca el JWT de
sesion). El PIN no participa del cifrado -- cambiarlo o restablecerlo
por correo nunca afecta las contraseñas ya guardadas. Privado por
usuario, sin excepcion. Cada accion sensible (crear/editar/eliminar/
revelar/desbloquear) queda en audit_log. Compartir con otro usuario
queda para una proxima version.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

backend/src/app.js

@@ -23,6 +23,7 @@ import searchRoutes from './modules/search/routes.js';
 import updaterRoutes from './modules/updater/routes.js';
 import errorLogsRoutes from './modules/errorLogs/routes.js';
 import notesRoutes from './modules/notes/routes.js';
+import vaultRoutes from './modules/vault/routes.js';
 
 export const app = express();
 
@@ -50,6 +51,7 @@ app.use('/api/search', searchRoutes);
 app.use('/api/updater', updaterRoutes);
 app.use('/api/error-logs', errorLogsRoutes);
 app.use('/api/notes', notesRoutes);
+app.use('/api/vault', vaultRoutes);
 // Mas generico (mount en /api sin sub-path propio) — SIEMPRE al final de los /api/*, para no
 // interceptar con su requireAuth interno una ruta que en realidad pertenece a un router mas
 // especifico registrado despues (ver ESTADO.md, deuda tecnica).