feat(umind): el correo entra al agente por dos puertas distintas — y son distintas a propósito

En "Dónde atiende", el canal correo: el agente lee una casilla y responde solo
los correos que llegan, con su base de conocimiento, igual que atiende WhatsApp.
Como el correo no tiene webhook, se revisa por intervalo — y el intervalo lo
elige el cliente por canal (2 a 60 minutos): una inmobiliaria quiere 2, a un
estudio contable con 30 le sobra. El cron corre cada minuto pero cada casilla
se revisa solo cuando le toca, con un pool de 8 para que 100 casillas no salgan
a la red en el mismo instante.

Las guardas que separan "asistente" de "incidente", cada una con su test:
nunca responde correo automático ni se responde a sí mismo (el bucle con otro
autoresponder); la revisión se marca ANTES de conectar, así una contraseña
cambiada no martilla el login cada minuto hasta que el host del cliente nos
bloquea; y el correo se marca leído recién cuando la respuesta salió — si el
envío falla, queda sin leer y se reintenta.

En "Lo que sabe", las cuentas de correo: casillas que el agente consulta a
pedido — "revisame los correos de hoy y haceme un resumen" — sin nada de fondo.
Solo lectura en serio: Peek, INBOX en read-only, y un test que falla si alguien
le agrega un marcado. Ahora se pueden conectar varias por agente; con más de
una, el modelo pregunta cuál en vez de adivinar — resumirle a alguien la
casilla que no pidió no es un error menor. El alta pide correo y contraseña:
el host se deduce (mail.<dominio>) y el campo técnico aparece recién si eso
falla. Se prueba la conexión antes de guardar, con la persona mirando.

Enviar por una cuenta conectada está bloqueado a propósito: para responder
correos está el canal, con sus guardas. Una tool de envío sin límites es una
máquina de spam con el dominio del cliente.

La navegación acompaña: "Lo que sabe" agrupa Información, Cuentas de correo y
Herramientas — tres formas de saber, no tres pantallas sueltas — y Avanzado
queda solo con Problemas.

El SMTP se unificó en una sola implementación que comparten soporte y el canal:
el bug de STARTTLS que abría dos conexiones ya se pagó una vez.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pkg/models/umind_conexion.go

@@ -17,13 +17,17 @@ import (
 type UmindConexion struct {
 	gorm.Model
 	AgenteID        uint      `json:"agente_id" gorm:"column:agente_id;index"`
-	Proveedor       string    `json:"proveedor" gorm:"column:proveedor;size:20;not null"` // google | microsoft
+	Proveedor       string    `json:"proveedor" gorm:"column:proveedor;size:20;not null"` // google | microsoft | imap
 	Email           string    `json:"email" gorm:"column:email;size:255"`
 	AccessTokenEnc  string    `json:"-" gorm:"column:access_token_enc;type:text"`
 	RefreshTokenEnc string    `json:"-" gorm:"column:refresh_token_enc;type:text"`
 	ExpiraEn        time.Time `json:"expira_en" gorm:"column:expira_en"`
 	Scopes          string    `json:"scopes" gorm:"column:scopes;type:text"`
 	Activo          bool      `json:"activo" gorm:"column:activo;default:true"`
+	// CredencialesEnc guarda el blob cifrado de una cuenta IMAP (host, puerto,
+	// usuario, contraseña, encriptación) — mismo esquema que los canales. Las
+	// conexiones OAuth no lo usan: sus tokens van en los campos de arriba.
+	CredencialesEnc string `json:"-" gorm:"column:credenciales_enc;type:text"`
 }
 
 func (UmindConexion) TableName() string { return "umind_conexiones" }
@@ -49,6 +53,17 @@ func GetUmindConexionByID(id uint) (*UmindConexion, error) {
 // GetUmindConexionActiva retorna la primera conexión activa del agente —
 // hoy se soporta una sola cuenta de correo conectada por agente, no una
 // bandeja por proveedor a la vez.
+// GetUmindConexionesActivas lista todas las cuentas conectadas de un agente.
+// Antes se soportaba una sola; ahora un agente puede tener varias casillas y
+// el modelo elige por dirección cuando el dueño se lo pide.
+func GetUmindConexionesActivas(agenteID uint) ([]UmindConexion, error) {
+	var items []UmindConexion
+	err := app.Http.Database.DB.
+		Where("agente_id = ? AND activo = ?", agenteID, true).
+		Order("id ASC").Find(&items).Error
+	return items, err
+}
+
 func GetUmindConexionActiva(agenteID uint) (*UmindConexion, error) {
 	var c UmindConexion
 	err := app.Http.Database.DB.Where("agente_id = ? AND activo = ?", agenteID, true).First(&c).Error