feat: orquestador uMind (SPA Vue) + tools custom + canales Telegram/WhatsApp

SPA nueva en /orchestrator (Vue 3 + Vite, servida por el mismo binario Go
bajo /orchestrator para que la cookie de sesión funcione sin tocar CORS),
reemplaza al panel Alpine.js como punto de entrada del menú.

Backend, todo aditivo sobre el motor de uMind ya existente:
- UmindHerramienta: tools custom por tenant que llaman un webhook HTTP,
  integradas al loop de function-calling existente. Cliente HTTP con
  guardas SSRF (bloqueo de IPs privadas/loopback/link-local resuelto en el
  momento de conectar, no antes, para cerrar la ventana de DNS rebinding)
  que no existían en el proyecto.
- UmindCanal: Telegram y WhatsApp Business Cloud API como canales
  adicionales del mismo agente que ya atiende el widget web, ambos
  reusando ProcessWidgetMessage. WhatsApp valida X-Hub-Signature-256.
  Credenciales cifradas en reposo con el mismo AES-GCM+APP_KEY que ya usa
  el proyecto para la contraseña SMTP (primer uso para secretos de uMind).
- Se conecta middlewares.Limit() (rate limiter que existía pero no se
  usaba en ningún lado) al widget público y a los webhooks nuevos.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

migrations/migrate.go

@@ -122,6 +122,8 @@ func Migrate() {
 		&models.UmindDocumento{},
 		&models.UmindChunk{},
 		&models.UmindMensaje{},
+		&models.UmindHerramienta{},
+		&models.UmindCanal{},
 		// API Keys de /api/v2 (token + IP obligatoria + scopes)
 		&models.ApiKey{},
 	}
@@ -1284,9 +1286,14 @@ func SeedUmind() {
 		log.Println("[SEED] Módulo 'Automatización IA' no encontrado, se omite SeedUmind")
 		return
 	}
-	url := "/app/umind"
+	// El panel viejo (Alpine, /app/umind) sigue existiendo y respondiendo, pero
+	// el menú ahora apunta al orquestador (SPA Vue). Si ya existía el submódulo
+	// apuntando a la URL vieja, se migra en el mismo registro en vez de crear
+	// uno duplicado.
+	url := "/orchestrator"
+	urlVieja := "/app/umind"
 	var sub models.Submodules
-	if err := db.Where("url = ?", url).First(&sub).Error; err != nil {
+	if err := db.Where("url = ? OR url = ?", url, urlVieja).First(&sub).Error; err != nil {
 		sub = models.Submodules{
 			Title:       "uMind",
 			Description: "Chat con IA embebible por sitio, con base de conocimiento propia (RAG)",
@@ -1299,8 +1306,17 @@ func SeedUmind() {
 			return
 		}
 		log.Printf("[SEED] Submódulo 'uMind' creado")
-	} else if sub.ModuleId != modulo.ID {
-		db.Model(&sub).Update("module_id", modulo.ID)
+	} else {
+		updates := map[string]interface{}{}
+		if sub.ModuleId != modulo.ID {
+			updates["module_id"] = modulo.ID
+		}
+		if sub.Url != url {
+			updates["url"] = url
+		}
+		if len(updates) > 0 {
+			db.Model(&sub).Updates(updates)
+		}
 	}
 	var rol models.Roles
 	if err := db.Where("name = ?", "Administrador").First(&rol).Error; err != nil {