feat: autorregistro con verificacion de correo + aprobacion, superadmin y SMTP

- POST /api/auth/register: primer usuario del sistema -> superadmin con sesion
  directa (bootstrap, sin correo ni aprobacion); los siguientes quedan
  pending_verification y reciben un correo con enlace de un solo uso (24h).
- GET /api/auth/verify-email: pasa a pending_approval y notifica in-app a los
  admin/superadmin activos.
- admin/superadmin aprueban (POST /api/users/:id/approve, eligen rol y
  departamento) o rechazan (POST /api/users/:id/reject, borra y audita el
  email) desde Organizacion -> Usuarios (nuevo badge de estado + acciones).
- login() da mensaje especifico segun el status de la cuenta en vez del
  generico "credenciales invalidas".
- Recuperacion de clave (forgot/reset-password): respuesta siempre generica,
  token de 1 hora de un solo uso.
- Nuevo modulo settings: SMTP configurable SOLO por superadmin desde
  Configuracion -> Correo (SMTP); clave cifrada AES-256-GCM (ENCRYPTION_KEY)
  en la tabla system_settings, nunca expuesta por la API. sendMail() degrada
  a modo dev (loguea en vez de enviar) si no hay SMTP configurado, y nunca
  deja que un fallo de envio tumbe al que lo llama.
- Migracion 002_registration_and_smtp.sql: rol superadmin, columnas de ciclo
  de vida en users (status, tokens), tabla system_settings, y promueve al
  usuario mas antiguo del sistema a superadmin.
- Fix: React.StrictMode disparaba el efecto de VerifyEmailPage dos veces; la
  segunda llamada (token ya consumido) mostraba "enlace invalido" pese a que
  la verificacion ya habia funcionado. Se agrega una guarda por token.
- Fix (deuda tecnica v1.0.0): se reordena el montaje de rutas en app.js —
  subtasksRoutes (mount generico en /api) va al final, para no interceptar
  con su requireAuth interno una request sin token dirigida a un router mas
  especifico registrado despues.
- Documentacion actualizada: AGENTS.md, SPEC.md, API.md, BASE_DE_DATOS.md,
  CONFIGURACION.md, ESTADO.md, CHANGELOG.md. Version 1.1.0.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

frontend/src/pages/Configuracion/ConfiguracionPage.jsx

@@ -1,12 +1,15 @@
-import { Palette, ListChecks, Flag, FolderKanban, Layers } from 'lucide-react';
+import { Palette, ListChecks, Flag, FolderKanban, Layers, Mail } from 'lucide-react';
 import { useUi } from '../../context/ui-context.jsx';
+import { useAuth } from '../../context/auth-context.jsx';
 import { Expander } from '../../components/Expander.jsx';
 import { Field, FieldRow } from '../../components/Field.jsx';
 import { ComboBox } from '../../components/ComboBox.jsx';
 import { CatalogEditor } from './CatalogEditor.jsx';
+import SmtpSettingsPanel from './SmtpSettingsPanel.jsx';
 
 export default function ConfiguracionPage() {
   const { t, theme, setTheme, lang, setLang, buttonMode, setButtonMode } = useUi();
+  const { user } = useAuth();
 
   return (
     <div>
@@ -84,6 +87,12 @@ export default function ConfiguracionPage() {
           fields={[{ key: 'name', label: t('common_name'), type: 'text' }]}
         />
       </Expander>
+
+      {user?.roleCode === 'superadmin' && (
+        <Expander icon={Mail} title={t('config_smtp')}>
+          <SmtpSettingsPanel />
+        </Expander>
+      )}
     </div>
   );
 }

frontend/src/pages/Configuracion/SmtpSettingsPanel.jsx

@@ -0,0 +1,56 @@
+import { useEffect, useState } from 'react';
+import { Save } from 'lucide-react';
+import { useUi } from '../../context/ui-context.jsx';
+import { useAsync, useAction } from '../../hooks/useAsync.js';
+import { getSmtpConfig, updateSmtpConfig } from '../../services/settings.js';
+import { Field, FieldRow } from '../../components/Field.jsx';
+import { Button } from '../../components/Button.jsx';
+import { InfoBar } from '../../components/InfoBar.jsx';
+
+export default function SmtpSettingsPanel() {
+  const { t, pushToast } = useUi();
+  const runAction = useAction();
+  const { data: config, reload } = useAsync(getSmtpConfig, []);
+  const [form, setForm] = useState({ host: '', port: 587, user: '', from: '', pass: '' });
+
+  useEffect(() => {
+    if (config) setForm({ host: config.host, port: config.port, user: config.user, from: config.from, pass: '' });
+  }, [config]);
+
+  async function save() {
+    await runAction(async () => {
+      await updateSmtpConfig(form);
+      await reload();
+      setForm((f) => ({ ...f, pass: '' }));
+      pushToast({ tone: 'success', message: t('common_saved') });
+    });
+  }
+
+  if (!config) return <div className="text-muted">{t('common_loading')}</div>;
+
+  return (
+    <div>
+      {!config.configured && <InfoBar tone="warning" dismissible={false}>{t('smtp_not_configured')}</InfoBar>}
+      <FieldRow>
+        <Field label={t('smtp_host')}>
+          <input className="input" value={form.host} onChange={(e) => setForm((f) => ({ ...f, host: e.target.value }))} placeholder="192.168.222.10" />
+        </Field>
+        <Field label={t('smtp_port')}>
+          <input className="input" type="number" value={form.port} onChange={(e) => setForm((f) => ({ ...f, port: Number(e.target.value) }))} />
+        </Field>
+      </FieldRow>
+      <FieldRow>
+        <Field label={t('smtp_user')}>
+          <input className="input" value={form.user} onChange={(e) => setForm((f) => ({ ...f, user: e.target.value }))} placeholder="project@linkedcorp.net" />
+        </Field>
+        <Field label={t('smtp_from')}>
+          <input className="input" value={form.from} onChange={(e) => setForm((f) => ({ ...f, from: e.target.value }))} placeholder="project@linkedcorp.net" />
+        </Field>
+      </FieldRow>
+      <Field label={t('smtp_pass')} hint={config.configured ? t('smtp_pass_configured_hint') : undefined}>
+        <input className="input" type="password" value={form.pass} onChange={(e) => setForm((f) => ({ ...f, pass: e.target.value }))} />
+      </Field>
+      <Button variant="accent" icon={Save} onClick={save}>{t('common_save')}</Button>
+    </div>
+  );
+}