feat(api): capa SAP con sesión compartida, mutex de login y cola de peticiones

- SapSessionService: una sesión para todos; un solo login aunque lleguen
  peticiones concurrentes o 401 simultáneos (loginInFlight); logout al apagar.
- SapClientService: proxy con reintento único ante 401, errores SAP
  traducidos (SapHttpException) y fallos de red/TLS mapeados a 502/504.
  Un login rechazado se informa como 502, nunca 401 (el frontend lo toma
  como sesión web expirada).
- Confianza TLS: SAPB1_SL_CA_FILE opcional (autofirmado de SAP o CA de
  firewall) sumado a las CA del sistema; VERIFY_SSL=true por defecto y no
  se puede apagar en producción.
- SAPB1_SL_MAX_CONCURRENCY (default 1): medido en SAP10, más de ~2
  peticiones en paralelo retrasan ~7 s cada una extra; en serie ~60 ms.
- GET /api/health/sap, tests unitarios (MockAgent) y e2e opcional contra
  SAP real (SAP_LIVE=1). apps/api/certs documentado; *.pem/*.cer ignorados.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

apps/api/.env.example

@@ -2,4 +2,26 @@ NODE_ENV=development
 PORT=3000
 # Orígenes permitidos por CORS, separados por coma (ej. https://erp.local)
 CORS_ORIGINS=http://localhost:4200
+# error | warn | log | debug | verbose
 LOG_LEVEL=log
+
+# --- SAP Business One Service Layer ---
+SAPB1_SL_URL=https://servidor-sap:50000/b1s/v1
+SAPB1_SL_COMPANYDB=
+# Usuario de servicio compartido (licencia SAP)
+SAPB1_SL_USER=
+SAPB1_SL_PASSWORD=
+SAPB1_SL_TIMEOUT_MS=15000
+# Peticiones simultáneas hacia el Service Layer (el resto se encola). Con más de
+# ~2 en paralelo el Service Layer de prueba retrasaba ~7 s cada petición extra.
+SAPB1_SL_MAX_CONCURRENCY=1
+
+# Confianza TLS (elegir según el caso):
+#  1) Certificado válido de una CA pública -> dejar vacío.
+#  2) Certificado autofirmado del Service Layer, o CA de un firewall que
+#     inspecciona SSL (ej. Fortinet) -> ruta a un PEM, relativa a apps/api.
+#     Para el autofirmado de SAP:
+#       echo | openssl s_client -connect HOST:50000 -servername HOST | openssl x509 -out certs/sap.pem
+#  3) Solo pruebas locales: SAPB1_SL_VERIFY_SSL=false (rechazado si NODE_ENV=production).
+SAPB1_SL_CA_FILE=
+SAPB1_SL_VERIFY_SSL=true