Agrega API de pagos externos: tokens por servicio, atados a pasarela e IP

Permite emitir credenciales (token hasheado + IP/CIDR opcional) desde
/app/pagos-externos para que aplicaciones de terceros pidan cobros a
través de Bold/dLocal/PayPal sin acceso a nada más del sistema:

- POST /api/v1/pagos-externos/solicitar genera el link de cobro real
  usando solo las pasarelas habilitadas para ese servicio.
- Los webhooks existentes de Bold/dLocal/PayPal (firma obligatoria,
  idempotentes) ahora también resuelven referencias "extpay-…" sin
  tocar el flujo de contratos ("contrato-{id}").
- Al confirmarse el pago se notifica por webhook firmado (HMAC) y/o
  Telegram, configurable por servicio.
- CRUD de servicios protegido con SoloAdmin; token y callback_secret
  solo se muestran una vez, en DB se guardan hasheados.

rest/controllers/api/dlocal_controller.go

@@ -320,6 +320,12 @@ func DlocalWebhook(c *fiber.Ctx) error {
 	log.Printf("[DLOCAL] Webhook: PAID — payment_id=%s order=%s email=%s monto=%.2f %s",
 		paymentID, orderID, payerEmail, monto, moneda)
 
+	// Intentar vincular con una solicitud de pago externo (referencia "extpay-…")
+	if services.ConfirmarPagoExternoPorReferencia(orderID, paymentID, "dlocal") {
+		models.MarkDlocalPaymentProcessed(notificationID)
+		return c.Status(fiber.StatusOK).JSON(fiber.Map{"ok": true})
+	}
+
 	// Intentar vincular con contrato si el order_id tiene formato "contrato-{id}"
 	if orderID != "" {
 		var contratoID uint