feat(api): monta los endpoints VCard en /api/v2 con scope propio

La integración VCard vivía solo en /api/v1, que autentica por cookie de
sesión: obliga a manejar cookie jar, no permite allowlist por IP y no se
puede revocar sin tocar la contraseña del usuario (ver
docs/api-v1-contrato.md, punto 7).

Ahora los mismos controladores están también bajo /api/v2/vcard/* con
Bearer + IP + scope, que es lo que administra la pantalla /app/api-keys.
El scope "vcard" acota la llave a estos 12 endpoints: sin él, esa
integración tendría acceso a los otros ~300 de v2.

/api/v1 se mantiene intacto — esto es un camino nuevo, no un reemplazo
forzado, así que lo que ya está instalado sigue andando mientras migran.

Se agregan dos chequeos porque el compilador no ve ninguno de los dos
errores: que las 12 rutas queden registradas con su método y path (un
typo se descubriría recién con un 404 del lado del integrador), y que
todas figuren en el spec de /api/v2, que se mantiene a mano y se
desincroniza en silencio.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

rest/routes/hermes_spec_helper_test.go

@@ -0,0 +1,13 @@
+package routes
+
+import "os"
+
+// leerSpecComoTexto lee el fuente del spec en vez de invocar el handler, que
+// necesitaría un contexto de Fiber y la configuración cargada.
+func leerSpecComoTexto() (string, error) {
+	b, err := os.ReadFile("../controllers/hermes_spec_controller.go")
+	if err != nil {
+		return "", err
+	}
+	return string(b), nil
+}