feat: PWA instalable, cambio de contraseña y dashboards por rol

- POST /api/auth/cambiar-password (bcrypt 12, política ≥8+1 número) +
  modal en las 6 apps con auth
- PWA: manifest + íconos de marca en las 7 apps (sin service worker a
  propósito, documentado); instalable en celular
- Dashboards: 'Mi tablero' para vendedor (sus KPIs y funnel) y sección
  Equipo para coordinador/corporativo/admin
- mi-dia: equipo.porVendedor gana leadsNuevosSemana
- Tests: api 271, cotizador 88, alta 88, cobranza 81, agente-ia 19,
  dashboards 15, mi-dia 11, landing 4

api-gateway/src/services/auth.service.test.ts

@@ -1,13 +1,14 @@
 import { beforeEach, describe, expect, it, vi } from 'vitest'
 import bcrypt from 'bcryptjs'
 import type { Usuario } from '@prisma/client'
-import { login, me, normalizarUsername, verificarToken } from './auth.service.js'
+import { cambiarPassword, login, me, normalizarUsername, validarPasswordNueva, verificarToken } from './auth.service.js'
 
 // ---------- Prisma mockeado (los tests no tocan la BD ni la red) ----------
 
 const prismaMock = vi.hoisted(() => ({
   usuario: {
     findUnique: vi.fn(),
+    update: vi.fn(),
   },
 }))
 
@@ -102,3 +103,63 @@ describe('me', () => {
     await expect(me({ sub: 'u-1', username: 'x', rol: 'vendedor' })).rejects.toThrow('Credenciales inválidas')
   })
 })
+
+describe('validarPasswordNueva', () => {
+  it('exige al menos 8 caracteres y un número', () => {
+    expect(validarPasswordNueva('corta1')).toContain('8 caracteres')
+    expect(validarPasswordNueva('sinnumeros')).toContain('número')
+    expect(validarPasswordNueva('')).toBeTruthy()
+  })
+
+  it('acepta passwords que cumplen la regla', () => {
+    expect(validarPasswordNueva('Frasa2026')).toBeNull()
+    expect(validarPasswordNueva('12345678')).toBeNull()
+  })
+})
+
+describe('cambiarPassword', () => {
+  const payload = { sub: 'u-1', username: 'erick israel pena ramos', rol: 'vendedor' }
+
+  it('con actual correcta re-hashea y guarda la nueva (cost 12)', async () => {
+    prismaMock.usuario.findUnique.mockResolvedValue(usuarioFake())
+    prismaMock.usuario.update.mockResolvedValue(usuarioFake())
+
+    await cambiarPassword(payload, 'Frasa2026', 'NuevaPass2026')
+
+    expect(prismaMock.usuario.update).toHaveBeenCalledTimes(1)
+    const llamada = prismaMock.usuario.update.mock.calls[0]?.[0] as {
+      where: { id: string }
+      data: { passwordHash: string }
+    }
+    expect(llamada.where).toEqual({ id: 'u-1' })
+    expect(llamada.data.passwordHash).not.toBe('NuevaPass2026')
+    expect(await bcrypt.compare('NuevaPass2026', llamada.data.passwordHash)).toBe(true)
+    // Cost 12: el hash bcrypt lleva el factor en el propio string ($2b$12$…)
+    expect(llamada.data.passwordHash).toMatch(/^\$2[aby]\$12\$/)
+  })
+
+  it('rechaza una nueva que no cumple la política sin tocar la BD', async () => {
+    await expect(cambiarPassword(payload, 'Frasa2026', 'corta')).rejects.toThrow('8 caracteres')
+    expect(prismaMock.usuario.findUnique).not.toHaveBeenCalled()
+    expect(prismaMock.usuario.update).not.toHaveBeenCalled()
+  })
+
+  it('con actual incorrecta responde 400 y no actualiza', async () => {
+    prismaMock.usuario.findUnique.mockResolvedValue(usuarioFake())
+
+    const error = await cambiarPassword(payload, 'mala', 'NuevaPass2026').catch((e: unknown) => e)
+    expect(error).toMatchObject({ status: 400, message: 'La contraseña actual no es correcta' })
+    expect(prismaMock.usuario.update).not.toHaveBeenCalled()
+  })
+
+  it('usuario inexistente o inactivo: 401 genérico', async () => {
+    prismaMock.usuario.findUnique.mockResolvedValue(null)
+    await expect(cambiarPassword(payload, 'Frasa2026', 'NuevaPass2026')).rejects.toThrow(
+      'Credenciales inválidas',
+    )
+    prismaMock.usuario.findUnique.mockResolvedValue(usuarioFake({ activo: false }))
+    await expect(cambiarPassword(payload, 'Frasa2026', 'NuevaPass2026')).rejects.toThrow(
+      'Credenciales inválidas',
+    )
+  })
+})