feat: uMind pasa a multi-agente por tenant

Un tenant (negocio/sitio, dueño de los dominios permitidos) puede tener
varios UmindAgente independientes (ej. "Ventas", "Soporte"), cada uno con
su propia config de IA, tono, base de conocimiento, tools, canales y
conexión de correo. El site_key también pasa a ser por agente, así cada
uno tiene su propio <script> de widget embebible y su propio color.

Backend:
- Nuevo modelo UmindAgente (pkg/models/umind_agente.go), con SiteKey,
  AiConfigID, Tono, MensajeBienvenida y Color — campos que antes vivían en
  UmindTenant y se sacan de ahí (las columnas viejas quedan huérfanas sin
  usar, no se hace DROP COLUMN).
- UmindDocumento, UmindChunk, UmindHerramienta, UmindCanal, UmindConexion y
  UmindMensaje pasan de TenantID a AgenteID. El campo se agrega sin
  "not null" para no romper el ALTER TABLE en Postgres sobre tablas que ya
  tienen filas (ej. emetropolitana).
- migrations.MigrarUmindAgentes(): idempotente, crea un agente "Principal"
  por cada tenant existente heredando lo que ya tenía configurado, y mueve
  sus datos de tenant_id a agente_id. Corre en cada arranque normal, mismo
  criterio que los Seed* — nada se rompe para los tenants ya en producción.
- Motor del agente, widget, canales (Telegram/WhatsApp) y OAuth de correo
  ahora operan sobre UmindAgente; el tenant solo se consulta para el
  chequeo de dominio permitido y el nombre del negocio que ve el visitante.

Frontend: nueva jerarquía de navegación tenant → lista de agentes
(TenantAgentes.vue) → detalle de un agente (AgenteDetail.vue, antes
TenantDetail.vue) con las mismas 6 tabs de siempre, ahora por agente. El
modal de tenant en el sidebar se achica a nombre/dominios/activo.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

rest/middlewares/auth_umind_widget.go

@@ -8,20 +8,25 @@ import (
 	"github.com/sujit-baniya/fiber-boilerplate/pkg/models"
 )
 
-// AuthUmindWidget resuelve el tenant a partir de la site_key en la URL y
-// valida que la petición venga de uno de sus dominios permitidos (Origin, o
-// Referer si el navegador no manda Origin). La site_key no es un secreto —
-// cualquiera puede verla en el HTML público del sitio — la protección real es
-// el chequeo de dominio, igual que una site key de reCAPTCHA/Analytics.
+// AuthUmindWidget resuelve el agente a partir de la site_key en la URL y
+// valida que la petición venga de uno de los dominios permitidos del tenant
+// dueño de ese agente (Origin, o Referer si el navegador no manda Origin).
+// La site_key no es un secreto — cualquiera puede verla en el HTML público
+// del sitio — la protección real es el chequeo de dominio, igual que una
+// site key de reCAPTCHA/Analytics.
 func AuthUmindWidget(c *fiber.Ctx) error {
 	siteKey := c.Params("site_key")
 	if siteKey == "" {
 		return c.Status(fiber.StatusBadRequest).JSON(fiber.Map{"error": true, "message": "site_key requerida"})
 	}
-	tenant, err := models.GetUmindTenantBySiteKey(siteKey)
+	agente, err := models.GetUmindAgenteBySiteKey(siteKey)
 	if err != nil {
 		return c.Status(fiber.StatusNotFound).JSON(fiber.Map{"error": true, "message": "sitio no encontrado"})
 	}
+	tenant, err := models.GetUmindTenantByID(agente.TenantID)
+	if err != nil || !tenant.Activo {
+		return c.Status(fiber.StatusNotFound).JSON(fiber.Map{"error": true, "message": "sitio no encontrado"})
+	}
 
 	origen := c.Get("Origin")
 	if origen == "" {
@@ -36,6 +41,7 @@ func AuthUmindWidget(c *fiber.Ctx) error {
 		c.Set("Access-Control-Allow-Origin", origen)
 		c.Set("Vary", "Origin")
 	}
+	c.Locals("umind_agente", agente)
 	c.Locals("umind_tenant", tenant)
 	return c.Next()
 }