sec+docs: endurecer contenedor y cabeceras, licencia Apache 2.0 y protocolo de relay documentado - #53

Las tres P2 que quedaban sin depender de tocar el protocolo de transferencia.

Contenedor y cabeceras (#30)

El contenedor corría como root: node:22-alpine ya trae un usuario node sin privilegios
que no se estaba usando. Y no declaraba HEALTHCHECK pese a que /healthz existe desde el
principio, así que Docker sabía si el proceso seguía vivo, no si seguía sirviendo. Se pregunta
con el propio Node, que no hay curl en la imagen.

Las respuestas llevan ahora CSP, X-Content-Type-Options, Referrer-Policy y
Permissions-Policy:

default-src 'self'; script-src 'self'; style-src 'self'; font-src 'self';
img-src 'self' data:; media-src 'self' blob:; connect-src 'self';
object-src 'none'; base-uri 'self'; form-action 'none'; frame-ancestors 'none'

Van en server/index.js y no en el Caddyfile a propósito: así viajan con la aplicación —valen
igual en npm run dev, en la suite y en un despliegue sin Caddy— y sobre todo se pueden
probar, en vez de confiar en que el proxy de producción esté bien. HSTS es la excepción y
se queda en Caddy: anunciarlo desde un servidor que también habla http dejaría inaccesible el
localhost de quien desarrolle, durante meses.

Sin 'unsafe-inline' ni 'unsafe-eval', que es lo que hace que la política valga algo. Eso
obligó a quitar el único estilo en línea que quedaba, un style="color: var(--red)" en
index.html que el navegador estaba bloqueando.

Licencia y documentos del repo (#31)

El repositorio es público y distribuye binarios para cinco plataformas sin licencia
declarada, que por defecto significa que nadie tiene permiso legal para usarlo, modificarlo ni
redistribuirlo. Ahora es Apache 2.0: permisiva como MIT, pero con concesión expresa de
patentes y obligación de indicar los cambios.

• CONTRIBUTING.md recoge lo que había que deducir leyendo el código: entorno, tests,
  comentarios que explican el porqué, formato de commits, interfaz en inglés y resto en español,
  y cero peticiones a terceros.
• CHANGELOG.md reconstruye las diecisiete versiones publicadas desde los tags y las notas de
  cada release.
• license, author y repository en el package.json.

El protocolo de relay, en un solo sitio (#32)

Los mensajes cli-* estaban repartidos entre tres ficheros sin descripción central. No es un
problema estético: tres implementaciones parciales del mismo protocolo es exactamente lo que
dejó al receptor sin mandar los acuses que el emisor espera, parando cualquier transferencia al
llegar a la ventana de 8 MB.

La descripción canónica va encima de receiveFromRelay en cli/src/transfer.js —cada mensaje,
quién lo emite, cuándo y qué espera de vuelta, con el control de flujo por ventana de acuses y
el reloj de inactividad—, y las otras dos implementaciones apuntan ahí.

Verificación

• npm test: 107/107, con tres casos nuevos en test/headers.test.mjs. Uno de ellos falla
  si alguien vuelve a meter un style=, un <script> sin src o un on*= en public/*.html,
  que es la forma habitual de acabar aflojando la CSP hasta dejarla en adorno.
• Chrome de verdad: cero violaciones de CSP en / y en /speed, consola limpia.
• Transferencia completa de 8 MB entre dos pestañas bajo la CSP, y la cadena de reenvío con dos
  receptores (1,05 copias, los dos con el hash correcto).
• El USER node y el HEALTHCHECK no se pueden probar aquí (no hay Docker en esta máquina): se
  verán en el despliegue, y lo confirmaré con docker compose ps en el VPS.

Closes #30, closes #31, closes #32.