feat: mejoras SAT, auth, web y migración

SAT:
- Cron diario 6-10 AM con grupos de tenants (~20% por hora).
- Retries fijos de daily sync a 9 AM y 4 PM CDMX.
- Filtrado de contribuyentes con FIEL vigente en cron.
- Timeout de 5 min en cliente HTTP del SAT.
- Manejo defensivo de 404, EmptyResult (5004) y solicitudes agotadas.
- Fechas formateadas en zona horaria America/Mexico_City.
- Patch a @nodecfdi/sat-ws-descarga-masiva para evitar getResponse crash.
- Sweep de jobs stale con thresholds ajustados.

Auth/Web:
- Primer pago de suscripción define periodo activo en webhook.
- Rate limit de login: 25 intentos / 15 min.
- Recuperación de contraseña: 24h de validez.
- Soporte viewingTenantId en contribuyentes.
- Timeout y estado de carga al crear organización en Facturapi.
- Filtros por cliente y cartera en Mis Asignados.
- Orden alfabético en selector de contribuyente.

DB:
- Migración 057: unique index de declaraciones incluye impuestos.

apps/api/src/controllers/webhook.controller.ts

@@ -253,12 +253,19 @@ async function handlePaymentNotification(paymentId: string) {
     // precio de renewal. Se detecta comparando el monto cobrado contra lo que
     // `getPlanPrice(phase='firstYear')` devolvería para este plan.
     const esPrimerPago = subscription.status === 'pending';
-    const updateData: { status: string; currentPeriodEnd?: Date } = { status: 'authorized' };
+    const updateData: { status: string; currentPeriodStart?: Date; currentPeriodEnd?: Date } = { status: 'authorized' };
 
-    // Extender currentPeriodEnd para renovaciones recurrentes.
-    // El primer pago ya tiene currentPeriodEnd establecido al crear la suscripción;
-    // solo extendemos en pagos subsecuentes para reflejar el nuevo período cobrado.
-    if (!esPrimerPago && subscription.currentPeriodEnd) {
+    if (esPrimerPago) {
+      // El primer pago aprobado define el inicio del período activo.
+      // Algunos flujos (cambio de plan, creación manual) dejan currentPeriodEnd
+      // en null, así que lo establecemos aquí para evitar que la suscripción
+      // aparezca vencida aunque esté authorized.
+      const periodStart = payment.dateApproved ? new Date(payment.dateApproved) : new Date();
+      updateData.currentPeriodStart = periodStart;
+      updateData.currentPeriodEnd = computeNextPeriodEnd(periodStart, subscription.frequency);
+      console.log(`[WEBHOOK] Subscription ${subscription.id} primer pago aprobado: período ${updateData.currentPeriodStart.toISOString()} → ${updateData.currentPeriodEnd.toISOString()} (${subscription.frequency})`);
+    } else if (subscription.currentPeriodEnd) {
+      // Extender currentPeriodEnd para renovaciones recurrentes.
       const nextPeriodEnd = computeNextPeriodEnd(subscription.currentPeriodEnd, subscription.frequency);
       updateData.currentPeriodEnd = nextPeriodEnd;
       console.log(`[WEBHOOK] Subscription ${subscription.id} extended to ${nextPeriodEnd.toISOString()} (${subscription.frequency})`);