feat: POST /auth/refresh — refresh tokens #7

Contexto

Fase 2: renovación de tokens sin pedir login otra vez.

Comportamiento

\
POST /auth/refresh
Body: { refreshToken }
Respuesta: 200 { token, refreshToken }
\\

Criterios

• Validar refresh token
• Rotar refresh token (el viejo deja de servir)
• Error: refresh inválido/expirado → 401