Fix: reactivar un estudiante no validaba su estado previo

reactivar() pasaba a ACTIVO sin importar el estado anterior: si se llamaba sobre un estudiante PENDIENTE_DE_ACTIVACION, quedaba activo sin haber cambiado su contraseña temporal, saltando el bloqueo de JwtRequestFilter (que solo restringe ese estado, no ACTIVO).

Ahora exige que el estudiante esté INACTIVO antes de reactivar, mismo criterio que ya usa restablecerContrasenia().