fix(api-keys): la restricción por IP comparaba contra la IP del proxy, no la del cliente

c.IP() detrás del proxy del hosting devuelve la IP interna del contenedor que
reenvía (10.x.x.x). Contra eso, ninguna IP pública cargada en una llave podía
coincidir: toda API key con restricción de IP daba 403, que es exactamente lo
que le pasó a la integración de vCard.

Ahora se lee X-Forwarded-For, y se toma la ÚLTIMA entrada, no la primera: con
un proxy adelante esa es la que escribió el proxy. Si quien llama manda su
propio X-Forwarded-For, el proxy le agrega la IP real al final — quedarse con
la primera sería dejar que cada uno declare su IP y la restricción no valdría
nada. El test fija ese caso.

Mismo arreglo en la autenticación de Pagos Externos, que comparaba igual.

El 403 ahora dice qué IP se vio y cuál está permitida: sin eso, del otro lado
se prueba a ciegas.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

rest/middlewares/hermes_auth.go

@@ -38,11 +38,17 @@ func AdminApiAuth() fiber.Handler {
 		if err != nil {
 			return c.Status(401).JSON(fiber.Map{"error": "unauthorized"})
 		}
-		if !key.IPValida(c.IP()) {
-			return c.Status(403).JSON(fiber.Map{"error": "IP no autorizada para esta API key"})
+		if ip := IPDelCliente(c); !key.IPValida(ip) {
+			// Decir qué IP se vio: sin eso, del otro lado no hay forma de saber
+			// qué cargar en la llave y se prueba a ciegas.
+			return c.Status(403).JSON(fiber.Map{
+				"error":        "IP no autorizada para esta API key",
+				"ip_vista":     ip,
+				"ip_permitida": key.IPPermitida,
+			})
 		}
 
-		go models.RegistrarUsoApiKey(key.ID, c.IP())
+		go models.RegistrarUsoApiKey(key.ID, IPDelCliente(c))
 		c.Locals("api_key", key)
 		return c.Next()
 	}