Feature: forzar cambio de contraseña en el primer login

Cambios

• Forzar cambio de contraseña en el primer login: cuando el login se hace con una contraseña temporal (alta de cuenta o reset de un funcionario), se pide establecer una nueva antes de poder usar la app. LoginForm lo detecta apenas el login resuelve bien y muestra el formulario ahí mismo, sin pedir la temporal dos veces. El gate de (app)/layout.tsx queda como respaldo del servidor para cualquier otra entrada a la app.
• Rename de rutas de backend: /auth/olvide-contrasenia y /auth/restablecer-contrasenia pasaron a /auth/forgot-password y /auth/reset-password (mismo contrato, solo cambia el path). Se actualizó también docs/openapi.json para reflejar el rename.
• Fondo con fotos del campus en las pantallas de auth: reemplaza el celeste liso por fotos del campus en cross-fade, con un halo detrás del logo para mantener contraste y padding que escala con la altura del viewport para evitar scroll. De paso se corrige el orden span/input del floating-label de email, que quedaba invertido respecto al de daisyUI.
• Fix de contraste: placeholder de .floating-label en zinc-500 sólido en vez de opacity, ahora también cubre el campo de contraseña con el ojito.
• Onest como tipografía única y migración del theme de daisyUI al bloque @plugin "daisyui/theme".
• Fix de configuración: API_BASE_URL de desarrollo vuelve a apuntar al backend local (http://localhost:8080) en vez de a la API hosteada, y se limpió .env.example (ya redundante con los defaults commiteados en .env.development/.env.production).