fix: seguridad de pagos y accesos, integración PayPal y Coolify ampliado

Seguridad (crítico):
- Los webhooks de Bold y dLocal solo validaban la firma si el atacante la
  enviaba: sin cabecera se aceptaba cualquier payload. Ahora es obligatoria.
- GET /pago-exitoso marcaba contratos como pagados leyendo un query param del
  navegador. Ahora solo muestra estado; la confirmación la hace la verificación
  contra la API de la pasarela o el webhook firmado.
- /uploads se servía como estático público: se descargaban RUTs, facturas y
  entregables sabiendo la ruta. Ahora exige sesión.
- Los secretos JWT no se podían sobreescribir por entorno (faltaba el tag env:)
  y su valor estaba en el repo, permitiendo firmarse una sesión de admin. Ahora
  son configurables y el arranque se detiene si siguen con el valor publicado.
- .env y session.db salen del control de versiones.
- Query Runner, gestión de usuarios/roles/módulos y seeds quedan restringidos a
  administradores; antes bastaba con tener sesión.

Pasarelas de pago:
- dLocal generaba enlaces que nunca se reconciliaban: mandaba el ID numérico en
  vez de "contrato-N", la URL de retorno apuntaba a la API de dLocal y nunca se
  enviaba notification_url, así que su webhook jamás se disparaba.
- PayPal solo tenía pantalla de configuración. Se implementa el servicio
  completo (OAuth, orden, captura, verificación de webhook) y queda
  seleccionable como pasarela.
- La moneda estaba fija en COP: un contrato en USD generaba un cobro por esa
  cifra en pesos.

Contratos:
- pago_confirmado nunca volvía a false, así que el segundo ciclo de renovación
  no se cobraba aunque el cliente pagara. Se reinicia al generar enlace nuevo.
- Los contratos vencidos nunca cambiaban de estado y recibían correo a diario
  de forma indefinida; ahora se cierran tras 30 días de gracia.

Otros:
- Coolify: coolifyCall ignoraba el status HTTP y reportaba errores como éxito.
  El agente pasa de 10 a cobertura completa (servicios, bases de datos,
  variables de entorno, proyectos, equipos y recursos de servidor).
- SeedBalanceData ya no corre en cada arranque (recreaba transacciones
  borradas); ahora se invoca con SEED_BALANCE=1.
- Los seeds dejan de devolver permisos revocados en cada despliegue.
- Timeouts en las llamadas HTTP a Telegram y dLocal que podían colgarse.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

rest/routes/publicas.go

@@ -20,6 +20,9 @@ func RutasPublicas(web fiber.Router) {
 	web.Post("/webhooks/bold", apiControllers.BoldWebhook)
 	// dLocal requiere respuesta HTTP 200 inmediata.
 	web.Post("/webhooks/dlocal", apiControllers.DlocalWebhook)
+	// PayPal: configurar en el panel de PayPal → Webhooks, con los eventos
+	// CHECKOUT.ORDER.APPROVED y PAYMENT.CAPTURE.COMPLETED.
+	web.Post("/webhooks/paypal", apiControllers.PaypalWebhook)
 	// Webhook entrante por integración SaaS (token único por config)
 	web.Post("/webhooks/saas-in/:token", controllers.SaasWebhookInHandler)
 	web.Get("/webhooks/saas-in/:token", controllers.SaasWebhookInHandler) // algunos SaaS verifican con GET

rest/routes/user.go

@@ -29,35 +29,35 @@ func UserRoutes(app fiber.Router) {
 	app.Get("/web", func(c *fiber.Ctx) error { return c.Redirect("/", http.StatusSeeOther) })
 	protected.Get("/", controllers.App)
 	protected.Get("/dashboard", middlewares.MenuMiddleware, controllers.Dashboard)
-	protected.Get("/modules", middlewares.MenuMiddleware, controllers.Modules) // Renderizar la vista
-	protected.Get("/loadmodules", controllers.GetModules)                      // Obtener todos los módulos
-	protected.Post("/modules", controllers.CreateModule)                       // Crear un nuevo módulo
-	protected.Put("/modules/:id", controllers.UpdateModule)                    // Actualizar un módulo existente
-	protected.Delete("/modules/:id", controllers.DeleteModule)                 // Eliminar un módulo
+	protected.Get("/modules", middlewares.MenuMiddleware, controllers.Modules)        // Renderizar la vista
+	protected.Get("/loadmodules", controllers.GetModules)                             // Obtener todos los módulos
+	protected.Post("/modules", middlewares.SoloAdmin, controllers.CreateModule)       // Crear un nuevo módulo
+	protected.Put("/modules/:id", middlewares.SoloAdmin, controllers.UpdateModule)    // Actualizar un módulo existente
+	protected.Delete("/modules/:id", middlewares.SoloAdmin, controllers.DeleteModule) // Eliminar un módulo
 
 	// Rutas de roles
-	protected.Get("/roles", middlewares.MenuMiddleware, controllers.Roles) // Renderizar la vista
-	protected.Get("/loadroles", controllers.GetRoles)                      // Obtener todos
-	protected.Post("/roles", controllers.CreateRole)                       // Crear
-	protected.Put("/roles/:id", controllers.UpdateRole)                    // Actualizar
-	protected.Delete("/roles/:id", controllers.DeleteRole)                 // Eliminar
+	protected.Get("/roles", middlewares.MenuMiddleware, controllers.Roles)        // Renderizar la vista
+	protected.Get("/loadroles", controllers.GetRoles)                             // Obtener todos
+	protected.Post("/roles", middlewares.SoloAdmin, controllers.CreateRole)       // Crear
+	protected.Put("/roles/:id", middlewares.SoloAdmin, controllers.UpdateRole)    // Actualizar
+	protected.Delete("/roles/:id", middlewares.SoloAdmin, controllers.DeleteRole) // Eliminar
 
 	// Rutas de módulos
-	protected.Get("/submodules", middlewares.MenuMiddleware, controllers.Submodules) // Renderizar la vista
-	protected.Get("/loadsubmodules", controllers.GetSubmodules)                      // Obtener todos los módulos
-	protected.Post("/submodules", controllers.CreateSubmodule)                       // Crear un nuevo módulo
-	protected.Put("/submodules/:id", controllers.UpdateSubmodule)                    // Actualizar un módulo existente
-	protected.Delete("/submodules/:id", controllers.DeleteSubmodule)                 // Eliminar un módulo
+	protected.Get("/submodules", middlewares.MenuMiddleware, controllers.Submodules)        // Renderizar la vista
+	protected.Get("/loadsubmodules", controllers.GetSubmodules)                             // Obtener todos los módulos
+	protected.Post("/submodules", middlewares.SoloAdmin, controllers.CreateSubmodule)       // Crear un nuevo módulo
+	protected.Put("/submodules/:id", middlewares.SoloAdmin, controllers.UpdateSubmodule)    // Actualizar un módulo existente
+	protected.Delete("/submodules/:id", middlewares.SoloAdmin, controllers.DeleteSubmodule) // Eliminar un módulo
 
 	// Rutas de usuarios
-	protected.Get("/users", middlewares.MenuMiddleware, controllers.Users)           // Renderizar la vista
-	protected.Get("/loadusers", controllers.GetUsers)                                // Obtener
-	protected.Post("/users", controllers.CreateUser)                                 // Crear
-	protected.Put("/users/:id", controllers.UpdateUser)                              // Actualizar
-	protected.Put("/password/:id", controllers.UpdatePassword)                       // Actualizar
-	protected.Delete("/users/:id", controllers.DeleteUser)                           // Eliminar
-	protected.Get("/user/:id", controllers.GetUser)                                  // Buscar un usuario
-	protected.Post("/users/:id/credenciales", controllers.EnviarCredencialesUsuario) // Enviar credenciales
+	protected.Get("/users", middlewares.MenuMiddleware, controllers.Users)            // Renderizar la vista
+	protected.Get("/loadusers", controllers.GetUsers)                                 // Obtener
+	protected.Post("/users", middlewares.SoloAdmin, controllers.CreateUser)           // Crear
+	protected.Put("/users/:id", middlewares.SoloAdmin, controllers.UpdateUser)        // Actualizar
+	protected.Put("/password/:id", middlewares.SoloAdmin, controllers.UpdatePassword) // Actualizar
+	protected.Delete("/users/:id", middlewares.SoloAdmin, controllers.DeleteUser)     // Eliminar
+	protected.Get("/user/:id", controllers.GetUser)                                   // Buscar un usuario
+	protected.Post("/users/:id/credenciales", controllers.EnviarCredencialesUsuario)  // Enviar credenciales
 
 	// Rutas de conexiones ssh
 	protected.Get("/conexion_ssh", middlewares.MenuMiddleware, controllers.ConxSsh) // Renderizar la vista
@@ -134,15 +134,15 @@ func UserRoutes(app fiber.Router) {
 	RenovacionesRoutes(protected)
 
 	// ─── Seed manual (admin) ────────────────────────────────────────────
-	protected.Get("/run-seed", controllers.RunSeed)
+	protected.Get("/run-seed", middlewares.SoloAdmin, controllers.RunSeed)
 	// ─── Query Runner (editor SQL) ────────────────────────────────────────────
 	protected.Get("/query-runner", middlewares.MenuMiddleware, controllers.QueryRunnerPage)
 	protected.Get("/query-runner/connections", controllers.GetConxDbList)
 	protected.Get("/query-runner/databases", controllers.GetDatabases)
 	protected.Get("/query-runner/tables", controllers.GetTables)
 	protected.Get("/query-runner/test", controllers.TestConnection)
-	protected.Post("/query-runner/run", controllers.RunQuery)
-	protected.Post("/query-runner/run-batch", controllers.RunBatchQuery)
+	protected.Post("/query-runner/run", middlewares.SoloAdmin, controllers.RunQuery)
+	protected.Post("/query-runner/run-batch", middlewares.SoloAdmin, controllers.RunBatchQuery)
 	protected.Get("/query-runner/history", controllers.GetHistory)
 	protected.Delete("/query-runner/history", controllers.ClearHistory)
 	protected.Post("/query-runner/export/csv", controllers.ExportCSV)