Onboarding seguro

Acceso con aprobacion administrativa y JWT firmado.

El alta queda pendiente hasta que el administrador habilite el usuario. La sesion se mantiene en cookie HttpOnly firmada, sin exponer credenciales en el frontend.