feat(alta): borrador, pre-llenado desde cotización y liga remota de firma

- Borradores por vendedor (guardar/continuar/eliminar), se limpia al registrar
- Pre-llenado con ?cotizacion=<id> (cliente, contacto, proyecto, montos);
  botón 'Iniciar alta' en Mis cotizaciones del cotizador
- Liga remota pública /client/firma/<token> (JWT scope firma-remota, 72h,
  rate limit, solo datos mínimos sin PLD): firma digital + subida de
  documentos que prende checkboxes en Monday Apartado
- Tokens de liga no sirven como sesión y viceversa
- Tests: api 228, alta 82, cotizador 82

api-gateway/src/middleware/auth.middleware.ts

@@ -17,6 +17,11 @@ const RUTAS_PUBLICAS: ReadonlyArray<{ metodo: string; ruta: string }> = [
 // final lo abre sin sesión; devuelve solo datos comerciales, nunca del cliente.
 const PATRONES_PUBLICOS: ReadonlyArray<{ metodo: string; patron: RegExp }> = [
   { metodo: 'GET', patron: /^\/cotizaciones\/[^/]+\/publico$/ },
+  // Liga remota de firma: públicos pero con token propio (scope 'firma-remota')
+  // que se verifica dentro del controlador; no aceptan tokens de login.
+  { metodo: 'GET', patron: /^\/clientes\/publico\/[^/]+$/ },
+  { metodo: 'POST', patron: /^\/clientes\/publico\/[^/]+\/firma$/ },
+  { metodo: 'POST', patron: /^\/clientes\/publico\/[^/]+\/documentos$/ },
 ]
 
 declare module 'express-serve-static-core' {