feat: version 3.0.0 -- Correcciones de auditoria de seguridad, accesibilidad y redundancia

Permisos (superadmin, viewer, busqueda, tareas recurrentes), bootstrap atomico,
revocacion de JWT por version de sesion (028), control optimista de edicion (029),
logo sin SVG + CSP, ingesta endurecida, correos escapados, borradores, paginacion
de proyectos, accesibilidad de dialogos/controles e i18n.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/src/utils/mailer.js

@@ -4,24 +4,24 @@ import { getSmtpConfigInternal } from '../modules/settings/service.js';
 // Degradacion a modo dev cuando el SMTP no esta configurado (regla del orquestador): en vez de
 // fallar, se loguea el contenido/enlace y el flujo que llamo a esto sigue funcionando.
 export async function sendMail({ to, subject, html }) {
-  const config = await getSmtpConfigInternal();
+  try {
+    const config = await getSmtpConfigInternal();
 
-  if (!config) {
-    console.log(`[mail:dev] to=${to} subject="${subject}"\n${html}`);
-    return { sent: false, dev: true };
-  }
+    if (!config) {
+      console.log(`[mail:dev] to=${to} subject="${subject}"\n${html}`);
+      return { sent: false, dev: true };
+    }
 
-  const transporter = nodemailer.createTransport({
-    host: config.host,
-    port: config.port,
-    secure: false,
-    requireTLS: true,
-    auth: { user: config.user, pass: config.pass },
-  });
+    const transporter = nodemailer.createTransport({
+      host: config.host,
+      port: config.port,
+      secure: false,
+      requireTLS: true,
+      auth: { user: config.user, pass: config.pass },
+    });
 
   // Nunca dejar que un fallo de envio (SMTP mal configurado, host caido) tumbe al que llama —
   // critico para forgot-password, que siempre debe responder generico sin importar el resultado.
-  try {
     await transporter.sendMail({ from: config.from, to, subject, html });
     return { sent: true, dev: false };
   } catch (err) {