Agrega API de pagos externos: tokens por servicio, atados a pasarela e IP

Permite emitir credenciales (token hasheado + IP/CIDR opcional) desde
/app/pagos-externos para que aplicaciones de terceros pidan cobros a
través de Bold/dLocal/PayPal sin acceso a nada más del sistema:

- POST /api/v1/pagos-externos/solicitar genera el link de cobro real
  usando solo las pasarelas habilitadas para ese servicio.
- Los webhooks existentes de Bold/dLocal/PayPal (firma obligatoria,
  idempotentes) ahora también resuelven referencias "extpay-…" sin
  tocar el flujo de contratos ("contrato-{id}").
- Al confirmarse el pago se notifica por webhook firmado (HMAC) y/o
  Telegram, configurable por servicio.
- CRUD de servicios protegido con SoloAdmin; token y callback_secret
  solo se muestran una vez, en DB se guardan hasheados.

main.go

@@ -129,6 +129,9 @@ func main() {
 			// Tablero de tareas
 			&models.Tarea{},
 			&models.TareaComentario{},
+			// Pagos externos: API de cobros para aplicaciones de terceros
+			&models.ServicioPagoExterno{},
+			&models.SolicitudPagoExterna{},
 			// Soporte: webhook de correo entrante
 			&models.SoporteWebhookConfig{},
 			// Automatización de cotizaciones, contratos, actas y cuentas de cobro con IA
@@ -169,6 +172,7 @@ func main() {
 		migrations.SeedWebSms()
 		migrations.SeedUrlMonitor()
 		migrations.SeedTareas()
+		migrations.SeedPagosExternos()
 		migrations.SeedAutomatizacionIA()
 		if n, err := models.RepararEstadosTareaInvalidos(); err != nil {
 			log.Printf("[FIX] Error reparando estados de tareas: %v", err)