feat: PWA instalable, cambio de contraseña y dashboards por rol

- POST /api/auth/cambiar-password (bcrypt 12, política ≥8+1 número) +
  modal en las 6 apps con auth
- PWA: manifest + íconos de marca en las 7 apps (sin service worker a
  propósito, documentado); instalable en celular
- Dashboards: 'Mi tablero' para vendedor (sus KPIs y funnel) y sección
  Equipo para coordinador/corporativo/admin
- mi-dia: equipo.porVendedor gana leadsNuevosSemana
- Tests: api 271, cotizador 88, alta 88, cobranza 81, agente-ia 19,
  dashboards 15, mi-dia 11, landing 4

api-gateway/src/controllers/auth.controller.test.ts

@@ -0,0 +1,73 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+import type { Request, Response } from 'express'
+import { cambiarPasswordEndpoint } from './auth.controller.js'
+import { AppError } from '../utils/errors.js'
+
+// ---------- Servicio mockeado (la lógica se prueba en auth.service.test) ----------
+
+const servicioMock = vi.hoisted(() => ({ cambiarPassword: vi.fn() }))
+
+vi.mock('../services/auth.service.js', () => ({
+  cambiarPassword: servicioMock.cambiarPassword,
+}))
+
+function reqFake(overrides: Partial<Request> = {}): Request {
+  return {
+    body: { actual: 'Frasa2026', nueva: 'NuevaPass2026' },
+    usuarioToken: { sub: 'u-1', username: 'asesor uno', rol: 'vendedor' },
+    ...overrides,
+  } as Request
+}
+
+function resFake() {
+  const json = vi.fn()
+  const end = vi.fn()
+  const status = vi.fn().mockReturnValue({ json, end })
+  return { res: { json, status } as unknown as Response, status, json, end }
+}
+
+beforeEach(() => {
+  vi.clearAllMocks()
+})
+
+describe('cambiarPasswordEndpoint', () => {
+  it('204 sin cuerpo cuando el servicio cambia la contraseña', async () => {
+    servicioMock.cambiarPassword.mockResolvedValue(undefined)
+    const { res, status, end } = resFake()
+
+    await cambiarPasswordEndpoint(reqFake(), res)
+
+    expect(servicioMock.cambiarPassword).toHaveBeenCalledWith(
+      { sub: 'u-1', username: 'asesor uno', rol: 'vendedor' },
+      'Frasa2026',
+      'NuevaPass2026',
+    )
+    expect(status).toHaveBeenCalledWith(204)
+    expect(end).toHaveBeenCalled()
+  })
+
+  it('sin token verificado: 400', async () => {
+    const { res } = resFake()
+    await expect(cambiarPasswordEndpoint(reqFake({ usuarioToken: undefined }), res)).rejects.toThrow(
+      'Falta el token verificado',
+    )
+    expect(servicioMock.cambiarPassword).not.toHaveBeenCalled()
+  })
+
+  it('body inválido: ZodError (el error handler lo traduce a 400)', async () => {
+    const { res } = resFake()
+    await expect(
+      cambiarPasswordEndpoint(reqFake({ body: { actual: '' } }), res),
+    ).rejects.toThrow()
+    expect(servicioMock.cambiarPassword).not.toHaveBeenCalled()
+  })
+
+  it('propaga el AppError del servicio (actual incorrecta → 400)', async () => {
+    servicioMock.cambiarPassword.mockRejectedValue(
+      new AppError(400, 'La contraseña actual no es correcta'),
+    )
+    const { res } = resFake()
+    const error = await cambiarPasswordEndpoint(reqFake(), res).catch((e: unknown) => e)
+    expect(error).toMatchObject({ status: 400 })
+  })
+})

api-gateway/src/controllers/auth.controller.ts

@@ -1,6 +1,6 @@
 import type { Request, Response } from 'express'
 import { z } from 'zod'
-import { login, me } from '../services/auth.service.js'
+import { cambiarPassword, login, me } from '../services/auth.service.js'
 import { BadRequestError } from '../utils/errors.js'
 
 const loginSchema = z.object({
@@ -20,3 +20,16 @@ export async function meEndpoint(req: Request, res: Response): Promise<void> {
   if (!req.usuarioToken) throw new BadRequestError('Falta el token verificado')
   res.json(await me(req.usuarioToken))
 }
+
+const cambiarPasswordSchema = z.object({
+  actual: z.string().min(1),
+  nueva: z.string().min(1),
+})
+
+/** POST /api/auth/cambiar-password (Bearer) { actual, nueva } → 204 */
+export async function cambiarPasswordEndpoint(req: Request, res: Response): Promise<void> {
+  if (!req.usuarioToken) throw new BadRequestError('Falta el token verificado')
+  const { actual, nueva } = cambiarPasswordSchema.parse(req.body)
+  await cambiarPassword(req.usuarioToken, actual, nueva)
+  res.status(204).end()
+}