docs: registra el deploy a produccion de v1.3.0 (prueba SMTP)

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

PRODUCCION.md

@@ -86,6 +86,25 @@
 - Verificado en produccion via curl (rechaza clave actual incorrecta con 400; no se cambio la
   clave real del superadmin durante la prueba).
 
+## Actualizacion v1.3.0 (2026-09-06) — boton de prueba en Correo (SMTP)
+
+- `POST /api/settings/smtp/test` (superadmin, rate-limited) agregado. Redeploy sin cambios de
+  dependencias ni de esquema (`nodemailer` ya estaba desde v1.1.0); PID confirmado distinto en
+  ambos servicios tras el restart.
+- Verificado en dev de punta a punta (curl + Playwright) antes del deploy: validacion 400 sin
+  host/usuario, y un intento real contra el SMTP interno con credenciales invalidas devuelve el
+  error real del servidor (`certificate has expired`) en vez de un mensaje generico.
+- En produccion se confirmo: el commit correcto quedo desplegado, ambos servicios reiniciaron
+  limpio (`journalctl` sin errores) y `GET /api/settings/smtp` sin token responde `401` como se
+  espera. **No se verificó el flujo autenticado completo en producción** — minar un JWT válido
+  en el servidor para probarlo fue bloqueado por el clasificador de auto-mode (accion sensible
+  sobre produccion) y no se intento evadirlo; tampoco se reseteo la clave del superadmin real
+  solo para probar. Si se quiere una verificacion end-to-end en produccion, hacerlo manualmente
+  desde el navegador con la sesion real del superadmin.
+- Regla nueva agregada al orquestador (`project-md-templates/SEGURIDAD-Y-CALIDAD.md`, seccion
+  1.6bis y checklist): toda pantalla de configuracion de un servicio externo debe tener un boton
+  de prueba real, no solo "Guardar".
+
 ## Comandos utiles
 
 ```bash