feat: version 3.0.0 -- Correcciones de auditoria de seguridad, accesibilidad y redundancia

Permisos (superadmin, viewer, busqueda, tareas recurrentes), bootstrap atomico,
revocacion de JWT por version de sesion (028), control optimista de edicion (029),
logo sin SVG + CSP, ingesta endurecida, correos escapados, borradores, paginacion
de proyectos, accesibilidad de dialogos/controles e i18n.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/SEGURIDAD-Y-CALIDAD.md

@@ -58,6 +58,10 @@
 - **Rate limiting** en `POST /api/auth/login`.
 - Sirviendo la SPA: CSP (helmet) — `script-src 'self'` (sin inline), `style-src 'self' 'unsafe-inline'`,
   `img-src 'self' data: blob:`, `object-src 'none'`.
+- La SPA de producción recibe CSP desde `frontend/public/serve.json` (el servidor `serve` copia
+  ese archivo al build); el backend usa Helmet en `/api`. En Vite dev no se aplica el header del
+  servidor `serve`, para permitir el módulo de recarga de React. El logo de empresa solo admite
+  PNG/JPG/WEBP comprobados por firma y se entrega con `nosniff`.
 
 ### 1.6 Frontend / caché
 - El JWT en `localStorage` es un trade-off aceptado; mantener CSP y sanitización.