Fix: las cuentas existentes no podían loguearse tras el pre-hash SHA-256
El pre-hash con SHA-256 (MR !87 (merged)) cambió el esquema de todas las contraseñas, pero las ya guardadas siguen siendo BCrypt directo sobre la contraseña: después del despliegue ninguna cuenta existente (incluidos los usuarios demo, que el DataSeeder no re-hashea si ya existen) podía iniciar sesión. matches() ahora prueba primero el esquema nuevo y, si no coincide, el anterior (solo para contraseñas de hasta 72 bytes, las únicas que se pudieron guardar así). Cada cuenta pasa al esquema nuevo la próxima vez que cambia su contraseña.
Tests de Sha256BCryptPasswordEncoder: contraseña normal, de 100 caracteres, con caracteres no ASCII, hash legacy que sigue validando y contraseña larga contra hash legacy sin excepción.