Agrega API Keys scoped (token + IP obligatoria + alcance) para /api/v2

Alternativa al ADMIN_API_KEY único de entorno, que sigue funcionando
como llave maestra para no romper integraciones existentes.

- Modelo ApiKey: token hasheado, IP/CIDR obligatoria (fail-closed sin
  IP), scopes habilitados, último uso (fecha + IP).
- AdminApiAuth() acepta ahora tanto la llave maestra como una ApiKey;
  nuevo middleware RequireScope(scope) para gatear grupos de rutas.
- Fase 1: scopes aplicados a lo más sensible — oss (archivos),
  query_runner (SQL arbitrario), usuarios (usuarios/roles/módulos),
  pasarelas (credenciales de pago). El resto de /api/v2 sigue con
  la llave maestra hasta una fase 2.
- Panel /app/api-keys: crear/editar/revocar, token visible solo al
  crear, scopes por checkbox, IP obligatoria.

rest/routes/user.go

@@ -341,6 +341,16 @@ func UserRoutes(app fiber.Router) {
 	protected.Post("/pagos-externos/servicios/:id/regenerar-token", middlewares.SoloAdmin, controllers.RegenerarTokenServicioPagoHandler)
 	protected.Get("/pagos-externos/solicitudes", controllers.GetSolicitudesPagoExternoHandler)
 
+	// ─── API Keys de /api/v2 (token + IP obligatoria + scopes) ────────────────
+	// Muy sensible: un scope "usuarios" o "query_runner" filtrado equivale a
+	// dar acceso administrativo — solo un administrador puede administrarlas.
+	protected.Get("/api-keys", middlewares.MenuMiddleware, controllers.ApiKeysIndex)
+	protected.Get("/api-keys/list", controllers.GetApiKeys)
+	protected.Post("/api-keys", middlewares.SoloAdmin, controllers.CreateApiKeyHandler)
+	protected.Put("/api-keys/:id", middlewares.SoloAdmin, controllers.UpdateApiKeyHandler)
+	protected.Delete("/api-keys/:id", middlewares.SoloAdmin, controllers.DeleteApiKeyHandler)
+	protected.Post("/api-keys/:id/regenerar-token", middlewares.SoloAdmin, controllers.RegenerarApiKeyHandler)
+
 	// ─── uMind: chat con IA embebible por tenant ───────────────────────────────
 	// Sensible: un tenant queda ligado a una config de IA (API key) y controla
 	// desde qué dominios se puede llamar al widget, así que crear/editar es