feat: PWA instalable, cambio de contraseña y dashboards por rol

- POST /api/auth/cambiar-password (bcrypt 12, política ≥8+1 número) +
  modal en las 6 apps con auth
- PWA: manifest + íconos de marca en las 7 apps (sin service worker a
  propósito, documentado); instalable en celular
- Dashboards: 'Mi tablero' para vendedor (sus KPIs y funnel) y sección
  Equipo para coordinador/corporativo/admin
- mi-dia: equipo.porVendedor gana leadsNuevosSemana
- Tests: api 271, cotizador 88, alta 88, cobranza 81, agente-ia 19,
  dashboards 15, mi-dia 11, landing 4

apps/agente-ia/src/lib/password.ts

@@ -0,0 +1,16 @@
+// Validación cliente de la contraseña nueva: misma regla que el API
+// (api-gateway/src/services/auth.service.ts). El API vuelve a validar;
+// esto solo evita un viaje de red con errores obvios.
+
+/** null si cumple; mensaje si no (≥8 caracteres y al menos 1 número) */
+export function validarPasswordNueva(nueva: string): string | null {
+  if (nueva.length < 8 || !/\d/.test(nueva)) {
+    return 'La nueva contraseña debe tener al menos 8 caracteres y un número'
+  }
+  return null
+}
+
+/** null si la confirmación coincide con la nueva; mensaje si difiere */
+export function validarConfirmacion(nueva: string, confirmar: string): string | null {
+  return nueva === confirmar ? null : 'La confirmación no coincide con la nueva contraseña'
+}