feat: panel de Actualizaciones en Configuracion (solo informativo)

Compara la version instalada contra el CHANGELOG.md de main en Gitea (lectura anonima por HTTPS,
sin token) y muestra cada version pendiente con su criticidad -- derivada del digito que cambio
(1ro=Alta, 2do=Media, 3ro=Baja, sin etiquetar nada a mano, regla ya documentada en
VERSIONADO.md), una descripcion breve, y si trae migraciones de base de datos nuevas. Banner en
rojo avisando que la actualizacion requiere reiniciar el sistema.

No instala nada automaticamente -- solo informa. Aplicar la actualizacion (git pull, build,
migrar, reiniciar servicios) sigue siendo manual, a criterio del administrador de cada
instalacion, tal cual DEPLOY_WEB.md ya documenta.

Nuevo GET /api/updater/status (solo superadmin). Requiere que el repo en Gitea sea publico con
vista anonima habilitada -- documentado en DEPLOY_WEB.md.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

DEPLOY_WEB.md

@@ -26,6 +26,12 @@ hace falta `create-admin.js` en instalaciones nuevas.
 Las secciones de abajo son la referencia manual (lo que hace el script paso a paso) — útiles para
 entender el porqué de cada cosa o para resolver un problema puntual sin volver a correr todo.
 
+**Requisito para el panel "Actualizaciones"** (Configuración → superadmin): el servidor instalado
+necesita poder llegar por HTTPS a `gitea.linkedcorp.net` de forma anónima (repo público + vista
+anónima habilitada en Gitea) para poder consultar el `CHANGELOG.md` y las migraciones nuevas. No
+requiere ningún token ni credencial. Si no hay conectividad a Gitea, ese panel simplemente muestra
+el error al buscar actualizaciones — el resto de la app funciona igual.
+
 ---
 
 ## Primer despliegue en producción (ya ejecutado — referencia)