Identidad de terceros y capa comercial sobre el chasis (todo retrocompatible):
- API keys + scopes (auth multi-esquema vía guards), módulo ApiKeys (CRUD).
- Webhooks endurecidos (HMAC + ventana + anti-replay).
- Entitlements + feature flags: gating por tenant (402), motor de lectura en el base.
- Metering + cuotas: usage_events, QuotaMiddleware (429 + Retry-After), entitlements:roll-periods.
- Billing opcional (app/Modules/Billing) con BillingManager y adaptadores Stripe / Mercado Pago,
seeder de planes. El base solo lee tenant_entitlements; billing lo escribe.
- Tooling: PHPStan 2.x, quality gate (pre-push + CI), ADR 0001, docs/memory.
220 tests, PHPStan 2.x 0 errores, PHPCS limpio.