Agrega API de pagos externos: tokens por servicio, atados a pasarela e IP

Permite emitir credenciales (token hasheado + IP/CIDR opcional) desde
/app/pagos-externos para que aplicaciones de terceros pidan cobros a
través de Bold/dLocal/PayPal sin acceso a nada más del sistema:

- POST /api/v1/pagos-externos/solicitar genera el link de cobro real
  usando solo las pasarelas habilitadas para ese servicio.
- Los webhooks existentes de Bold/dLocal/PayPal (firma obligatoria,
  idempotentes) ahora también resuelven referencias "extpay-…" sin
  tocar el flujo de contratos ("contrato-{id}").
- Al confirmarse el pago se notifica por webhook firmado (HMAC) y/o
  Telegram, configurable por servicio.
- CRUD de servicios protegido con SoloAdmin; token y callback_secret
  solo se muestran una vez, en DB se guardan hasheados.

rest/controllers/api/bold_controller.go

@@ -117,7 +117,13 @@ func BoldWebhook(c *fiber.Ctx) error {
 	log.Printf("[BOLD] Webhook: SALE_APPROVED — payment_id=%s referencia=%s email=%s monto=%d",
 		paymentID, referencia, payerEmail, monto)
 
-	// ─── 7. Marcar contrato como pagado y limpiar enlace ────────────────────
+	// ─── 7. Intentar vincular con una solicitud de pago externo ─────────────
+	if services.ConfirmarPagoExternoPorReferencia(referencia, paymentID, "bold") {
+		models.MarkBoldWebhookProcessed(notificationID)
+		return c.Status(fiber.StatusOK).JSON(fiber.Map{"ok": true})
+	}
+
+	// ─── 8. Marcar contrato como pagado y limpiar enlace ────────────────────
 	// La referencia tiene formato "contrato-{id}"
 	if referencia != "" {
 		var contratoID uint