Agrega API de pagos externos: tokens por servicio, atados a pasarela e IP

Permite emitir credenciales (token hasheado + IP/CIDR opcional) desde
/app/pagos-externos para que aplicaciones de terceros pidan cobros a
través de Bold/dLocal/PayPal sin acceso a nada más del sistema:

- POST /api/v1/pagos-externos/solicitar genera el link de cobro real
  usando solo las pasarelas habilitadas para ese servicio.
- Los webhooks existentes de Bold/dLocal/PayPal (firma obligatoria,
  idempotentes) ahora también resuelven referencias "extpay-…" sin
  tocar el flujo de contratos ("contrato-{id}").
- Al confirmarse el pago se notifica por webhook firmado (HMAC) y/o
  Telegram, configurable por servicio.
- CRUD de servicios protegido con SoloAdmin; token y callback_secret
  solo se muestran una vez, en DB se guardan hasheados.

rest/routes/user.go

@@ -329,6 +329,17 @@ func UserRoutes(app fiber.Router) {
 	protected.Delete("/ai-config/:id", controllers.DeleteAiConfigHandler)
 	protected.Get("/ai-config/:id/test", controllers.TestAiConfigHandler)
 
+	// ─── Pagos externos (API para que apps de terceros pidan cobros) ───────────
+	// Sensible: emitir/regenerar un token da acceso a crear cobros reales por
+	// Bold/dLocal/PayPal, así que solo un administrador puede administrarlo.
+	protected.Get("/pagos-externos", middlewares.MenuMiddleware, controllers.PagosExternosIndex)
+	protected.Get("/pagos-externos/servicios", controllers.GetServiciosPagoExterno)
+	protected.Post("/pagos-externos/servicios", middlewares.SoloAdmin, controllers.CreateServicioPagoExternoHandler)
+	protected.Put("/pagos-externos/servicios/:id", middlewares.SoloAdmin, controllers.UpdateServicioPagoExternoHandler)
+	protected.Delete("/pagos-externos/servicios/:id", middlewares.SoloAdmin, controllers.DeleteServicioPagoExternoHandler)
+	protected.Post("/pagos-externos/servicios/:id/regenerar-token", middlewares.SoloAdmin, controllers.RegenerarTokenServicioPagoHandler)
+	protected.Get("/pagos-externos/solicitudes", controllers.GetSolicitudesPagoExternoHandler)
+
 	// ─── OSS API (Alibaba Cloud + S3/MinIO) ────────────────────────────────────
 	protected.Get("/oss-api", middlewares.MenuMiddleware, controllers.OssApiIndex)
 	protected.Get("/loadossapi", controllers.GetOssApiConfigs)