fix(widget): deja de mostrar los errores del servidor como respuestas del bot

El widget hacía `data.respuesta || data.message` sin mirar el status, así
que un 403/404/500 se pintaba en una burbuja como si lo hubiera dicho el
agente. Imposible distinguir "el bot contestó raro" de "el widget está
siendo rechazado", que es justo el lazo en el que se puede quedar alguien
diagnosticando esto.

Además los rechazos del middleware ocurren ANTES del motor, así que no
dejaban rastro en ningún lado: ni en la auditoría del agente ni en el
navegador. De ahí el síntoma "el chat de prueba anda pero el widget no".

- El widget mira r.ok, manda el motivo real a la consola y al visitante le
  muestra un mensaje neutro.
- AuthUmindWidget distingue las tres causas que el chat de prueba NO tiene
  (agente inactivo, tenant inactivo, dominio no autorizado) y las registra
  en la auditoría del agente con el detalle accionable — incluyendo qué
  dominio llamó y cuáles están permitidos.
- GetUmindAgentePorSiteKey busca sin filtrar por activo, para poder decir
  "está apagado" en vez de "no existe".
- Test del allowlist de dominios: es fail-closed y www.ejemplo.com NO
  matchea ejemplo.com, la causa más probable de este síntoma.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

rest/middlewares/auth_umind_widget.go

@@ -1,6 +1,8 @@
 package middlewares
 
 import (
+	"fmt"
+	"log"
 	"net/url"
 	"strings"
 
@@ -19,12 +21,33 @@ func AuthUmindWidget(c *fiber.Ctx) error {
 	if siteKey == "" {
 		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": true, "message": "site_key requerida"})
 	}
-	agente, err := models.GetUmindAgenteBySiteKey(siteKey)
+
+	// Se busca SIN filtrar por activo para poder distinguir "no existe" de
+	// "está apagado". Estos rechazos ocurren antes del motor del agente, así
+	// que sin registrarlos el síntoma es "el chat de prueba anda pero el
+	// widget no" sin ninguna pista de por qué — que es exactamente el lazo en
+	// el que se puede quedar alguien diagnosticando esto.
+	agente, err := models.GetUmindAgentePorSiteKey(siteKey)
 	if err != nil {
+		log.Printf("[UMIND_WIDGET] site_key desconocida: %q (origen %q)", siteKey, c.Get("Origin"))
 		return c.Status(fiber.StatusNotFound).JSON(fiber.Map{"error": true, "message": "sitio no encontrado"})
 	}
+	if !agente.Activo {
+		models.RegistrarEventoUmind(agente.ID, "error", "widget",
+			"El widget fue rechazado porque el agente está inactivo",
+			"Activá el agente para que el widget vuelva a responder. El chat de prueba sí funciona con un agente inactivo, por eso la diferencia.")
+		return c.Status(fiber.StatusNotFound).JSON(fiber.Map{"error": true, "message": "sitio no encontrado"})
+	}
+
 	tenant, err := models.GetUmindTenantByID(agente.TenantID)
-	if err != nil || !tenant.Activo {
+	if err != nil {
+		models.RegistrarEventoUmind(agente.ID, "error", "widget", "El widget no encontró el tenant del agente", err.Error())
+		return c.Status(fiber.StatusNotFound).JSON(fiber.Map{"error": true, "message": "sitio no encontrado"})
+	}
+	if !tenant.Activo {
+		models.RegistrarEventoUmind(agente.ID, "error", "widget",
+			"El widget fue rechazado porque el tenant está inactivo",
+			fmt.Sprintf("Activá el tenant %q para que el widget vuelva a responder.", tenant.Nombre))
 		return c.Status(fiber.StatusNotFound).JSON(fiber.Map{"error": true, "message": "sitio no encontrado"})
 	}
 
@@ -34,6 +57,13 @@ func AuthUmindWidget(c *fiber.Ctx) error {
 	}
 	host := hostDeOrigen(origen)
 	if !tenant.DominioPermitido(host) {
+		detalle := fmt.Sprintf("Llamada desde %q. Dominios permitidos del tenant: %q.", host, tenant.DominiosPermitidos)
+		if strings.TrimSpace(tenant.DominiosPermitidos) == "" {
+			detalle = fmt.Sprintf("Llamada desde %q, pero el tenant no tiene ningún dominio permitido configurado (la lista vacía no permite nada).", host)
+		} else if host == "" {
+			detalle = "La petición llegó sin Origin ni Referer, así que no se pudo verificar de qué sitio viene."
+		}
+		models.RegistrarEventoUmind(agente.ID, "error", "widget", "El widget fue rechazado por dominio no autorizado", detalle)
 		return c.Status(fiber.StatusForbidden).JSON(fiber.Map{"error": true, "message": "dominio no autorizado para este sitio"})
 	}