0.3.0 - Moderacion de comentarios + fin de Telegram

Fase 3 del plan de auditoria (ver `docs/02-comentarios-y-contacto.md`). Cierra el hallazgo 1 de `docs/00-auditoria.md` (causa raiz del hackeo de 800 comentarios) del lado del backend.

Moderacion de comentarios

• `comments.status` (`pending`/`published`/`hidden`): `POST /comments` siempre inserta `pending`, `GET /comments` publico filtra `published`. Un comentario nuevo nunca se publica en vivo solo.

Fin de Telegram, centro de mensajes real

• Tabla `contact_messages` nueva, reemplaza al modulo de Telegram (eliminado por completo).
• `POST /contact-messages` valida con Zod de verdad (el `/tlgrm` viejo no validaba nada) y guarda `phone` como string (el viejo lo forzaba a `Number`, bug real con telefonos con formato).

Hallazgo de infraestructura

• `bun run db:migrate` estaba roto: `__drizzle_migrations` desincronizada de los archivos de migracion (6 migraciones aplicadas sin registrar). Corregido sin re-ejecutar ninguna migracion vieja.

Verificacion

• End-to-end contra Turso real: confirmado que un comentario `pending` no aparece en el listado publico.
• 16 tests con `bun test`, cero tocan Turso/red real.

Pendiente, otro repo: Portafolio necesita apuntar el form de contacto a `/api/contact-messages` y conectar rate limiting al proxy publico de comentarios.

Pre-release: vive en `dev`, `main` no se toco en esta ronda.

🤖 Generated with Claude Code