feat: cambiar clave desde la app (usuario logueado)

Nuevo PUT /api/auth/change-password: exige la clave actual (a diferencia de
reset-password, que usa un token de correo sin sesion). Opcion "Cambiar clave"
agregada al menu de usuario (popup), disponible para cualquier rol.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

API.md

@@ -32,6 +32,8 @@
   in-app a los `admin`/`superadmin` activos.
 - `POST /api/auth/forgot-password` — público. `{ email }` → respuesta **siempre genérica**.
 - `POST /api/auth/reset-password` — público. `{ token, password }`.
+- `PUT /api/auth/change-password` — autenticado. `{ currentPassword, newPassword }`, exige la
+  clave actual (distinto de `reset-password`, que usa un token de correo sin sesión).
 - `POST /api/auth/logout`
 - `GET /api/auth/me` — usuario actual