[F8-06] Rotación de la clave maestra de cifrado de credenciales #59

Fase: F8 · Tamaño: S · Depende de: #47 (F3-04)

Objetivo

Poder cambiar la clave maestra (por rutina o por filtración) sin perder las claves de los usuarios ni cortar el servicio.

Alcance

• Script pnpm --filter server credentials:rotate que recifra todas las ProviderCredential con la versión más alta de CREDENTIAL_KEYS, en lotes e idempotente.
• La app descifra con la versión indicada en cada registro, así que las dos claves conviven durante la rotación.
• Procedimiento documentado: añadir versión nueva → desplegar → rotar → comprobar → retirar versión antigua → desplegar.

Criterios de aceptación

• Test: con credenciales en la versión 1, añadir la 2 y rotar deja todas en la versión 2 y siguen descifrándose.
• Test: ejecutar la rotación dos veces no cambia nada la segunda vez.
• Test: tras retirar la versión 1, la app arranca y todas las credenciales funcionan.
• El procedimiento está en el README de operaciones.