fix(seguridad): lockfile en sync, fuera localtunnel, receptores en loopback, tests en CI

[DannyBaanks]

What & why

PR 0 de la serie de la auditoría. Arregla los puntos #1, #3, #4 y #11:

• feat(windows): carril Windows completo (launcher + install + guia) #1 CI roto. package-lock.json estaba desincronizado (faltaba ws@8.21.3, que pide @openai/agents-core) y npm ci fallaba en CI y en release. Regenerado.
• fix(seguridad): lockfile en sync, fuera localtunnel, receptores en loopback, tests en CI #3 Dependencias vulnerables. localtunnel no se importa en ningún lado y arrastraba axios <=0.32 (varios GHSA high). Eliminado junto con @types/localtunnel. hono sube a 4.13.9 con npm audit fix (sin breaking).
• feat(conocimiento): leer Word/Excel/PowerPoint/PDF fuera del proceso main #4 Receptores expuestos a la LAN. WebhookServer y SlackWebhookServer escuchaban en todas las interfaces. tunnelmole reenvía a localhost, así que ahora escuchan solo en 127.0.0.1, como ya hacían controlChannel e integrationBroker.
• ci(contributors): solo en el upstream (en el fork daba 404 en cada merge) #11 CI sin tests. Nuevo job Tests: npm ci, build, test:focused y los tests del CLI munder (link + avatar). proveedor.test.cjs queda fuera porque pide sudo y se cuelga sin terminal.

Sigue pendiente: toml (high, vía tunnelmole) no tiene versión parcheada. Solo parsea el config local de tunnelmole, que es entrada confiable.

Type of change

• Bug fix
• Build / CI

Evidence

Before

• npm ci → Missing: ws@8.21.3 from lock file (EUSAGE)
• npm audit --omit=dev → 5 vulnerabilidades (1 moderate, 4 high): axios, hono, toml
• test/public-listeners-loopback.test.cjs → # pass 0 / # fail 2 (los dos servidores escuchan en ::/0.0.0.0)

After

• npm ci --dry-run → OK (lockfile en sync)
• npm audit --omit=dev → 2 high, las dos por toml vía tunnelmole (sin parche publicado)
• test/public-listeners-loopback.test.cjs → # pass 2 / # fail 0
• Comprobado que http.get({hostname:'localhost'}) (lo que usa tunnelmole) llega a un servidor que escucha solo en 127.0.0.1

How I tested it

• OS: Linux (contenedor), Node 22
• Steps: npm run typecheck:node, el test nuevo antes y después del cambio (rojo → verde), node --test tools/munder/link.test.cjs tools/munder/avatar.test.cjs (9/9). El job Tests corre en macos-latest con módulos nativos compilados.

Checklist

• Before/after arriba.
• npm run typecheck pasa.
• Tests del cambio pasan.
• Leí el diff.

🤖 Generated with Claude Code

---

Generated by Claude Code

[github-actions]

🚫 This PR is missing its before/after evidence

Every pull request here has to show its work. Screenshots or a short screen recording, before the change and after it.

• Before — no image or video under that heading
• After — no image or video under that heading

How to fix it: edit the description, keep the ### Before and ### After headings from the template, and drag an image or video under each. GitHub uploads it inline. This check re-runs the moment you save.

A bug fix with no visible surface still needs it: show the failing behaviour, then the same steps passing. A terminal recording is fine.

Genuinely nothing to show — a CI tweak, a typo, a dependency bump? A maintainer can apply the no-visual-change label. Please don't ask unless it truly has no observable effect.

📖 CONTRIBUTING.md → Evidence is mandatory