feat(umind): que el cliente conecte su propia cuenta de IA

El modelo soportaba una config de IA por espacio desde hace varias fases, pero
no había forma de cargarla: ni el cliente desde el portal, ni el staff por él.
Quedaba como una columna que solo se podía llenar tocando la base a mano.

Ahora hay una pantalla — "Tu IA", desde la lista de agentes — donde se conecta
una cuenta de OpenAI, Anthropic, Gemini, Groq, DeepSeek, Qwen u Ollama. Con el
botón "Probar", que manda una consulta real: una clave vencida se descubre ahí
y no cuando un cliente escribe y no le contestan.

El aislamiento es la parte delicada, y va en tres capas:

Las configs globales son del staff. Un cliente puede usarlas —le aparecen en el
selector— pero no editarlas ni borrarlas; el acceso corta antes de mirar
permisos, así que ni siquiera se le confirma que existen. Sin eso, cualquiera
podría cambiarle el proveedor de IA a todos los demás o dejarlos sin servicio.

El tenant sale del alcance ya validado, nunca del body. Si viniera del cuerpo
de la petición, bastaría con cambiar el número para colgarle una config a otro
cliente, y con ella una clave que no es suya.

El tenant no se puede mover en una edición, por lo mismo al revés: sería
regalarle la propia.

La clave se guarda cifrada y no vuelve nunca al navegador — ni al dueño. Solo
sus últimos cuatro caracteres, que alcanzan para reconocer cuál cargó.

Borrar está bloqueado si hay agentes usándola: si no, quedarían apuntando a
algo inexistente y cayendo al proveedor global sin que nadie se entere.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

rest/routes/umind.go

@@ -69,5 +69,13 @@ func RegistrarRutasUmind(g fiber.Router, scope fiber.Handler, escritura fiber.Ha
 	g.Get("/umind/eventos", r(controllers.GetUmindEventosHandler)...)
 	g.Get("/umind/uso", r(controllers.GetUmindUsoHandler)...)
 	g.Get("/umind/ai-configs", r(controllers.GetUmindAiConfigsHandler)...)
+
+	// La cuenta de IA propia del cliente: la carga él, queda atada a su espacio
+	// y nadie más la ve. Las configs globales del staff no se tocan desde acá.
+	g.Get("/umind/ai-propia", r(controllers.ListarAiConfigsPropiasHandler)...)
+	g.Post("/umind/ai-propia", w(controllers.CrearAiConfigPropiaHandler)...)
+	g.Put("/umind/ai-propia/:id", w(controllers.ActualizarAiConfigPropiaHandler)...)
+	g.Delete("/umind/ai-propia/:id", w(controllers.BorrarAiConfigPropiaHandler)...)
+	g.Post("/umind/ai-propia/:id/probar", w(controllers.ProbarAiConfigPropiaHandler)...)
 	g.Get("/umind/reporte.xlsx", r(controllers.GetUmindReporteHandler)...)
 }