feat(api): login web con sesiones, guard global y freno a fuerza bruta

- POST /api/auth/login (U_WEB_USER/U_WEB_PASS de EmployeesInfo), logout y me.
- Token opaco (32 bytes) en Authorization: Bearer; una sesión por usuario,
  timeout deslizante configurable (SESSION_TIMEOUT_MINUTES, 30 por defecto).
- AuthGuard global con @Public(); /health/sap ahora exige sesión.
- Usuario inexistente y contraseña errónea devuelven el mismo mensaje;
  comparación en tiempo constante; filtro OData escapado; se rechazan
  U_WEB_USER duplicados.
- LoginAttemptsService: 429 tras 5 fallos por usuario o 20 por IP (15 min).
- Tests unitarios y e2e con SAP simulado.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/.env.example

@@ -4,6 +4,8 @@ PORT=3000
 CORS_ORIGINS=http://localhost:4200
 # error | warn | log | debug | verbose
 LOG_LEVEL=log
+# Inactividad (minutos) tras la cual caduca la sesión web
+SESSION_TIMEOUT_MINUTES=30
 
 # --- SAP Business One Service Layer ---
 SAPB1_SL_URL=https://servidor-sap:50000/b1s/v1
@@ -12,8 +14,8 @@ SAPB1_SL_COMPANYDB=
 SAPB1_SL_USER=
 SAPB1_SL_PASSWORD=
 SAPB1_SL_TIMEOUT_MS=15000
-# Peticiones simultáneas hacia el Service Layer (el resto se encola). Con más de
-# ~2 en paralelo el Service Layer de prueba retrasaba ~7 s cada petición extra.
+# Peticiones simultáneas hacia el Service Layer (el resto se encola). En el servidor
+# de prueba, 1 era lo óptimo (~20 req/s); con 2 o más se degradaba. Medir en cada cliente.
 SAPB1_SL_MAX_CONCURRENCY=1
 
 # Confianza TLS (elegir según el caso):