fix(api): evitar 500 al crear tenant con email existente + rate-limit trust proxy

- createTenant ahora reusa User si el email ya existe globalmente
  (hace upsert de membership en vez de crear user duplicado)
- Arregla error de express-rate-limit con X-Forwarded-For:
  app.set('trust proxy', 1) para que funcione detrás de Cloudflare
- Tipos de email templates actualizados para tempPassword nullable

apps/api/src/app.ts

@@ -45,6 +45,10 @@ import metricasRoutes from './routes/metricas.routes.js';
 
 const app: Express = express();
 
+// Trust proxy — la app corre detrás de Cloudflare/nginx. Necesario para que
+// express-rate-limit lea correctamente X-Forwarded-For sin lanzar warnings.
+app.set('trust proxy', 1);
+
 // Security. Helmet default incluye un CSP restrictivo que puede chocar con el
 // frontend cuando éste embebe recursos propios (ej: /terminos embebe el PDF de
 // /legal/). Dejamos CSP off en el API y centralizamos los headers de seguridad