feat: PWA instalable, cambio de contraseña y dashboards por rol

- POST /api/auth/cambiar-password (bcrypt 12, política ≥8+1 número) +
  modal en las 6 apps con auth
- PWA: manifest + íconos de marca en las 7 apps (sin service worker a
  propósito, documentado); instalable en celular
- Dashboards: 'Mi tablero' para vendedor (sus KPIs y funnel) y sección
  Equipo para coordinador/corporativo/admin
- mi-dia: equipo.porVendedor gana leadsNuevosSemana
- Tests: api 271, cotizador 88, alta 88, cobranza 81, agente-ia 19,
  dashboards 15, mi-dia 11, landing 4

api-gateway/src/services/auth.service.ts

@@ -81,3 +81,40 @@ export async function me(payload: TokenPayload): Promise<UsuarioPublico> {
   if (!usuario || !usuario.activo) throw new AppError(401, 'Credenciales inválidas')
   return aPublico(usuario)
 }
+
+const BCRYPT_COST = 12
+
+/**
+ * Regla de la contraseña nueva: ≥8 caracteres y al menos 1 número.
+ * Devuelve el mensaje de error o null si es válida (la app cliente replica
+ * esta misma regla para validar antes de llamar al API).
+ */
+export function validarPasswordNueva(nueva: string): string | null {
+  if (nueva.length < 8 || !/\d/.test(nueva)) {
+    return 'La nueva contraseña debe tener al menos 8 caracteres y un número'
+  }
+  return null
+}
+
+/**
+ * POST /auth/cambiar-password: verifica la contraseña actual contra bcrypt y
+ * re-hashea la nueva (cost 12). Errores genéricos: no se filtra si el usuario
+ * existe; una actual incorrecta responde 400 sin más detalle.
+ */
+export async function cambiarPassword(
+  payload: TokenPayload,
+  actual: string,
+  nueva: string,
+): Promise<void> {
+  const errorPolitica = validarPasswordNueva(nueva)
+  if (errorPolitica) throw new AppError(400, errorPolitica)
+
+  const usuario = await prisma.usuario.findUnique({ where: { id: payload.sub } })
+  if (!usuario || !usuario.activo) throw new AppError(401, 'Credenciales inválidas')
+
+  const ok = await bcrypt.compare(actual, usuario.passwordHash)
+  if (!ok) throw new AppError(400, 'La contraseña actual no es correcta')
+
+  const passwordHash = await bcrypt.hash(nueva, BCRYPT_COST)
+  await prisma.usuario.update({ where: { id: usuario.id }, data: { passwordHash } })
+}