feat: version 3.0.0 -- Correcciones de auditoria de seguridad, accesibilidad y redundancia

Permisos (superadmin, viewer, busqueda, tareas recurrentes), bootstrap atomico,
revocacion de JWT por version de sesion (028), control optimista de edicion (029),
logo sin SVG + CSP, ingesta endurecida, correos escapados, borradores, paginacion
de proyectos, accesibilidad de dialogos/controles e i18n.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

AGENTS.md

@@ -113,7 +113,7 @@ Adaptación web (no es una app empaquetada, corre en pestaña de navegador):
   (se borra). Solo el usuario más antiguo del sistema es `superadmin` automático (bootstrap, sin
   correo ni aprobación — no hay quién lo apruebe). El admin sigue pudiendo crear usuarios
   directamente (ya activos, sin pasar por este flujo) desde Organización → Usuarios.
-- `401` → el frontend limpia sesión, redirige a login y muestra aviso (ContentDialog).
+- `401` o JWT vencido (detectado también sin peticiones y al volver a la pestaña) → el frontend corta la sesión, va a login con aviso y, tras entrar el mismo usuario, vuelve a la ruta/pestaña/edición donde estaba (ver `docs/SESION-Y-BORRADORES.md`).
 - Cierre de sesión por expiración de JWT.
 - Auditoría en BD (`audit_log`): usuario, acción, entidad, fecha/hora, detalle.
 - Credenciales/secretos solo en `.env` (nunca en código); `.env.example` sí se versiona. Excepción:
@@ -164,6 +164,7 @@ Adaptación web (no es una app empaquetada, corre en pestaña de navegador):
 - `README.md`, `SPEC.md`, `BASE_DE_DATOS.md`, `CONFIGURACION.md`, `API.md`, `VERSIONADO.md`
 - `PRODUCCION.md`, `DEPLOY_WEB.md` (topología y flujo de deploy — arquetipo B, en producción)
 - `docs/UI-UX-WINDOWS.md`, `docs/SEGURIDAD-Y-CALIDAD.md`, `docs/ARQUITECTURA-INVENTARIO.md`
+- `docs/SESION-Y-BORRADORES.md` (vencimiento de sesión, retorno al contexto, borradores y avisos al salir; usar `useDraftForm` en todo formulario nuevo)
 - `ESTADO.md` (handoff — leer siempre al retomar el proyecto)
 
 ## Pendientes para quedar listo