ci: job gitleaks en CI + .gitleaksignore (hallazgo historico documentado)

Author: gnacho

.github/workflows/ci.yml

@@ -50,3 +50,14 @@ jobs:
         working-directory: app
       - run: npm run test:e2e
         working-directory: app
+
+  gitleaks:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          fetch-depth: 0
+      - name: Instalar gitleaks
+        run: curl -sL https://github.com/gitleaks/gitleaks/releases/download/v8.30.1/gitleaks_8.30.1_linux_x64.tar.gz | sudo tar xz -C /usr/local/bin gitleaks
+      - name: Escanear secretos en todo el historial
+        run: gitleaks git . --redact --no-banner

.gitleaksignore

@@ -0,0 +1,4 @@
+# Token HAOS en commit histórico 55084e35 (working tree ya limpio: el script exige HAOS_TOKEN por env).
+# Repo PRIVADO — riesgo contenido. 🔴 SI EL REPO SE HACE PÚBLICO ALGÚN DÍA: rotar primero el token
+# de larga duración en HAOS y borrar esta entrada.
+55084e351a311143ae83f037f215ad2769229772:crear-servicio.sh:jwt:50