feat: conexiones OAuth (Gmail/Outlook) para el agente + rediseño del orquestador

Backend:
- UmindConexion: cuenta de correo conectada por tenant vía OAuth2
  (golang.org/x/oauth2, promovida de indirecta a directa), tokens cifrados
  en reposo con el mismo AES-GCM+APP_KEY que ya usan tools/canales.
- Flujo completo: /app/umind/conexiones/conectar redirige a Google/Microsoft,
  /callback/:proveedor intercambia el code (state autoverificable por HMAC,
  sin tabla de estados pendientes), refresh on-demand antes de cada uso.
- Dos tools nuevas para el agente (enviar_correo/leer_bandeja) que aparecen
  solo si el tenant tiene una conexión activa, vía Gmail API / Microsoft
  Graph directo (sin el SDK pesado de Google).
- Requiere que el dueño del proyecto cree las apps OAuth en Google Cloud
  Console / Azure y cargue GOOGLE_OAUTH_CLIENT_ID/SECRET y
  MS_OAUTH_CLIENT_ID/SECRET — sin eso los botones de conectar fallan con un
  mensaje claro, no en silencio.

Frontend: rediseño del orquestador — layout de sidebar fijo (reemplaza el
navbar + lista de página completa), modo oscuro vía prefers-color-scheme,
tabs en pill, y la nueva tab "Conexiones".

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

pkg/models/umind_conexion.go

@@ -0,0 +1,75 @@
+package models
+
+import (
+	"time"
+
+	"github.com/sujit-baniya/fiber-boilerplate/app"
+	"gorm.io/gorm"
+)
+
+// UmindConexion es una cuenta de correo real (Gmail u Outlook) conectada por
+// OAuth a un tenant, para que el agente pueda enviar y leer correo en su
+// nombre (tools enviar_correo/leer_bandeja, ver pkg/services/umind_agent_service.go).
+// AccessTokenEnc/RefreshTokenEnc viajan cifrados en reposo (ver
+// pkg/services/umind_secrets.go) — a diferencia del site_key del widget,
+// estos SÍ son secretos: quien los tenga puede leer/mandar correo como el
+// dueño de la cuenta.
+type UmindConexion struct {
+	gorm.Model
+	TenantID        uint      `json:"tenant_id" gorm:"column:tenant_id;index;not null"`
+	Proveedor       string    `json:"proveedor" gorm:"column:proveedor;size:20;not null"` // google | microsoft
+	Email           string    `json:"email" gorm:"column:email;size:255"`
+	AccessTokenEnc  string    `json:"-" gorm:"column:access_token_enc;type:text"`
+	RefreshTokenEnc string    `json:"-" gorm:"column:refresh_token_enc;type:text"`
+	ExpiraEn        time.Time `json:"expira_en" gorm:"column:expira_en"`
+	Scopes          string    `json:"scopes" gorm:"column:scopes;type:text"`
+	Activo          bool      `json:"activo" gorm:"column:activo;default:true"`
+}
+
+func (UmindConexion) TableName() string { return "umind_conexiones" }
+
+func CreateUmindConexion(c *UmindConexion) error {
+	return app.Http.Database.DB.Create(c).Error
+}
+
+func GetUmindConexionesByTenant(tenantID uint) ([]UmindConexion, error) {
+	var items []UmindConexion
+	err := app.Http.Database.DB.Where("tenant_id = ?", tenantID).Order("id DESC").Find(&items).Error
+	return items, err
+}
+
+func GetUmindConexionByID(id uint) (*UmindConexion, error) {
+	var c UmindConexion
+	if err := app.Http.Database.DB.First(&c, id).Error; err != nil {
+		return nil, err
+	}
+	return &c, nil
+}
+
+// GetUmindConexionActiva retorna la primera conexión activa del tenant —
+// hoy se soporta una sola cuenta de correo conectada por tenant, no una
+// bandeja por proveedor a la vez.
+func GetUmindConexionActiva(tenantID uint) (*UmindConexion, error) {
+	var c UmindConexion
+	err := app.Http.Database.DB.Where("tenant_id = ? AND activo = ?", tenantID, true).First(&c).Error
+	if err != nil {
+		return nil, err
+	}
+	return &c, nil
+}
+
+// DesactivarConexionesDelTenant se llama antes de crear una conexión nueva —
+// hoy se soporta una sola cuenta de correo activa por tenant a la vez.
+func DesactivarConexionesDelTenant(tenantID uint) error {
+	return app.Http.Database.DB.Model(&UmindConexion{}).
+		Where("tenant_id = ? AND activo = ?", tenantID, true).
+		Update("activo", false).Error
+}
+
+func UpdateUmindConexion(id uint, updates map[string]interface{}) error {
+	return app.Http.Database.DB.Model(&UmindConexion{}).Where("id = ?", id).Updates(updates).Error
+}
+
+func DeleteUmindConexion(id uint) error {
+	return app.Http.Database.DB.Delete(&UmindConexion{}, id).Error
+}