feat: PWA instalable, cambio de contraseña y dashboards por rol

- POST /api/auth/cambiar-password (bcrypt 12, política ≥8+1 número) +
  modal en las 6 apps con auth
- PWA: manifest + íconos de marca en las 7 apps (sin service worker a
  propósito, documentado); instalable en celular
- Dashboards: 'Mi tablero' para vendedor (sus KPIs y funnel) y sección
  Equipo para coordinador/corporativo/admin
- mi-dia: equipo.porVendedor gana leadsNuevosSemana
- Tests: api 271, cotizador 88, alta 88, cobranza 81, agente-ia 19,
  dashboards 15, mi-dia 11, landing 4

apps/mi-dia/src/services/auth.ts

@@ -75,3 +75,28 @@ export function manejar401(res: Response): void {
   logout()
   if (typeof window !== 'undefined') window.location.reload()
 }
+
+/**
+ * POST /auth/cambiar-password. Lanza Error con el mensaje del API cuando
+ * falla (p. ej. "La contraseña actual no es correcta"); no toca la sesión.
+ */
+export async function cambiarPassword(actual: string, nueva: string): Promise<void> {
+  let res: Response
+  try {
+    res = await fetch(
+      `${API_URL}/auth/cambiar-password`,
+      conAuth({
+        method: 'POST',
+        headers: { 'Content-Type': 'application/json' },
+        body: JSON.stringify({ actual, nueva }),
+      }),
+    )
+  } catch {
+    throw new Error('No se pudo conectar con el servidor')
+  }
+  manejar401(res)
+  if (!res.ok) {
+    const body = (await res.json().catch(() => null)) as { error?: string } | null
+    throw new Error(body?.error ?? `Error ${res.status}`)
+  }
+}