Initial commit — Donna portal v1

Setup completo del portal interno donna.aal-law.com:

* Landing público con OAuth login + grid de apps autenticado
* Flujo OAuth2 contra Mailcow (mail.aal-law.com)
* Sesiones SSO compartidas en el dominio (cookie donna_session, 8h)
* Whitelist de dominios aal-law.com / aalnlaw.com
* App "Control de Escrituras" migrada desde ZH-Consultores/control-escrituras
  (mismo schema, mismo frontend, ahora con shared Auth/Db/Config libs)
* Migraciones SQL para users, escrituras_tramites, escrituras_historial
* Caddy on :80 con rewrite extless → .php
* Backup diario MariaDB (systemd timer + script) con retención 14d
* Documentación de arquitectura en README + infra files en docs/infra

donna.env.example

@@ -0,0 +1,31 @@
+# Plantilla de /etc/donna/donna.env
+# Copia este archivo a /etc/donna/donna.env y rellena con valores reales:
+#   sudo cp donna.env.example /etc/donna/donna.env
+#   sudo chown root:www-data /etc/donna/donna.env
+#   sudo chmod 640 /etc/donna/donna.env
+# Nunca commitear el .env real.
+
+# --- OAuth2 Mailcow ---
+OAUTH_CLIENT_ID=pega_aqui
+OAUTH_CLIENT_SECRET=pega_aqui
+OAUTH_REDIRECT_URI=https://donna.aal-law.com/auth/callback
+OAUTH_AUTH_URL=https://mail.aal-law.com/oauth/authorize
+OAUTH_TOKEN_URL=https://mail.aal-law.com/oauth/token
+OAUTH_PROFILE_URL=https://mail.aal-law.com/oauth/profile
+OAUTH_SCOPE=profile
+
+# --- App ---
+APP_SECRET=genera_con_openssl_rand_hex_32
+APP_BASE_URL=https://donna.aal-law.com
+SESSION_LIFETIME=28800
+
+# --- Base de datos (MariaDB local) ---
+DB_HOST=127.0.0.1
+DB_PORT=3306
+DB_NAME=donna
+DB_USER=donna_app
+DB_PASS=password_local_seguro
+
+# --- Autorización ---
+# Dominios de correo permitidos para entrar (CSV)
+ALLOWED_EMAIL_DOMAINS=aal-law.com,aalnlaw.com