Fase 1a: microservicio tcef-notifications (workers FCM v1 + email)

Sustituye el envío de push por la API legacy de GCM (muerta desde jun-2024) y
saca el envío del observer de Meteor a una cola BullMQ controlada.

- poller: consume 'notifications' pendientes (campos correctos; el cron viejo
  tenía un typo nofitied/emailNofitied que nunca casaba)
- fcm-worker: firebase-admin (FCM HTTP v1), payload compatible con la app
  Flutter (FLUTTER_NOTIFICATION_CLICK, collapseKey=_id, data); purga tokens
  muertos sin reintentar
- email-worker: nodemailer + plantillas new-fire portadas verbatim
- idempotencia persistente: notification_sends, indice unico (notificationId,
  channel) -> sobrevive reinicios y replays
- salvaguardas anti-spam: modos dry-run/shadow/canary/full, exclusion mutua por
  canal (OWNED_CHANNELS + notifDisabledChannels en Meteor), kill switch,
  limites por usuario/dia y circuit breaker por batch
- docs/legacy-behavior.md (caracterizacion) + docs/rollout.md
- 47 tests (vitest + mongodb-memory-server), typecheck y build OK
- deploy: systemd + pm2 (Node 22 standalone)

Falta el service account de Firebase para envio real de push (pedir al usuario).

config.example.json

@@ -0,0 +1,17 @@
+{
+  "mode": "dry-run",
+  "killSwitch": false,
+  "ownedChannels": [],
+  "dbName": "fuegos",
+  "redis": { "host": "127.0.0.1", "port": 6379, "db": 0 },
+  "poll": { "intervalMs": 10000, "batchSize": 500 },
+  "limits": { "perUserPerDay": 20, "maxPerBatch": 2000 },
+  "canary": { "userIds": [], "subsIds": [] },
+  "retries": { "attempts": 3, "backoffMs": 5000 },
+  "fcm": { "projectId": "angular-cosmos-108908" },
+  "email": { "from": "Todos contra el Fuego <no-reply@comunes.org>" },
+  "rootUrl": "https://fuegos.comunes.org/",
+  "gmaps": {},
+  "logLevel": "info",
+  "serviceName": "tcef-notifications"
+}