feat: facturación primer pago, fixes SAT/MP, autocompletado RFCs/conceptos

Backend:
- Notificación email al admin cuando llega primer pago aprobado (sin factura auto)
- Endpoints GET /pagos-sin-factura y POST /emitir-factura-pago para admin global
- Fix vinculación org Facturapi Horux 360 (69f23a5a242e0af47a41fa0d)
- Fix webhook MP: validación defensiva de x-signature header
- Fix autocompleto RFCs: eliminado filtro por contribuyenteId
- Fix autocompleto conceptos: eliminado filtro por contribuyenteId
- SAT fixes: anti-bot CSF scraper, request reuse, date range fix, stale job thresholds
- SAT sync request reuse across jobs para evitar agotar cuota diaria
- Typo fix MP_ACCESS_TOKEN en .env
- Trial invitations system backend

Frontend:
- Nueva página /admin/facturas-pendientes con tabla y emisión manual
- Métrica 'Facturas pendientes' en /clientes (clickable)
- Navegación onboarding FIEL/CSD corregida
- Sidebar themes sincronizados
- Fix SAT portal migration scraper (NetIQ)
- Trial invitation acceptance pages

apps/web/app/(auth)/login/page.tsx

@@ -7,7 +7,7 @@ import Image from 'next/image';
 import { Button, Input, Label, Card, CardContent, CardDescription, CardFooter, CardHeader, CardTitle } from '@horux/shared-ui';
 import { login } from '@/lib/api/auth';
 import { useAuthStore } from '@/stores/auth-store';
-import { isGlobalAdminRfc } from '@horux/shared';
+import { isGlobalAdminRfc, type PlatformRole } from '@horux/shared';
 import { shouldShowOnboarding } from '@/lib/onboarding';
 
 export default function LoginPage() {
@@ -33,7 +33,7 @@ export default function LoginPage() {
       const userRole = response.user?.role;
       // Admin global aterriza directo en `/clientes` — su home natural es la
       // gestión de tenants, no el dashboard operativo del despacho.
-      const platformRoles = (response.user as { platformRoles?: string[] }).platformRoles;
+      const platformRoles = (response.user as { platformRoles?: PlatformRole[] }).platformRoles;
       const isGlobalAdmin = isGlobalAdminRfc(response.user?.tenantRfc, userRole, platformRoles);
       if (isGlobalAdmin) {
         router.push('/clientes');