refactor: validadores compartidos y componentes de UI extraídos

- src/lib/validators.ts centraliza regex y validaciones (module name,
  subdominio, slug, repoUrl, safeNext) usados por las rutas API y login,
  con tests en validators.test.ts
- DeployStatus, HelpdeskUsage y PagosUsage se extraen de las páginas
  /upload y /m/[name] a componentes propios
- README actualizado con la arquitectura y el contrato de /api/modules

README.md

@@ -18,9 +18,11 @@
 | `/eliminar` | sí | Baja de módulos (con/sin código) |
 | `/correo` | sí | Claves de correo por módulo (`POST /api/email/modules`, banco `mail.*`) |
 | `/correo/plantillas` | sí | Plantillas del banco `mail.templates` (listar, crear, editar, activar) |
-| `/api/modules`, `/api/stats` | no/sí | Proxy al deployer (token server-side) |
-| `/api/deployer/*` | sí | Proxy genérico al deployer |
-| `/api/auth`, `/api/me` | — | Sesión HMAC 12h en cookie httpOnly |
+| `/api/modules` | GET público sanitizado / POST sí | Proxy al deployer: GET filtra visibles sin repoUrl ni logs |
+| `/api/stats`, `/api/modules/:name/verify`, `/api/inventory` | sí | Proxy/lecturas del deployer (token server-side) |
+| `/api/deployer/*` | sí | Proxy genérico al deployer (segmentos validados) |
+| `/api/auth` (POST) | rate-limit 10/min por IP | Sesión HMAC 12h en cookie httpOnly |
+| `/api/me` | — | Sesión actual (email) |
 
 ## Auth IT
 
@@ -49,6 +51,17 @@ pnpm dev      # http://localhost:3000
 pnpm lint && pnpm typecheck && pnpm test && pnpm build
 ```
 
+## Arquitectura
+
+- `/` y `/tablero` son Server Components (caché 15s/30s en el servidor,
+  isla cliente para revalidar). El resto de vistas IT son client components
+  con stores `useSyncExternalStore` (`src/lib/store.ts`, `src/lib/correo.ts`).
+- El inventario SAM.API (`src/lib/api-inventory.ts`) solo se importa en
+  `src/app/api/inventory/route.ts`: nunca viaja al navegador.
+- Secretos (`DEPLOYER_TOKEN`, `IT_SESSION_SECRET`, `HELPDESK_SERVICE_PASS`)
+  solo se usan en route handlers y `*-server.ts` (verificado: nada
+  server-side llega al bundle cliente).
+
 El deploy a producción (.4) es vía push a `main` del repo + rebuild del
 contenedor (`portal-frontend`). El módulo está registrado en el deployer
 (categoría `sam`, subdominio `sam`); sus pushes ya no autodespliegan solos