d-points: reconciliación SumUp (sin webhooks) para asegurar la entrega de PD

SumUp eliminó los webhooks, así que la acreditación no puede depender de que
el navegador vuelva al return_url. Se añade reconciliación consultando el
estado en la API de SumUp de los checkouts pendientes (fulfilled=0):

- reconcileSumUpCheckouts() en lib/sumup.ts: recorre los pendientes recientes
  y acredita los que estén PAID (reclamo atómico idempotente).
- /d-points y /account reconcilian los pendientes de la cuenta al cargar, para
  reflejar el saldo aunque el usuario no pasara por la página de éxito.
- /api/dpoints/reconcile: backstop global protegido con CRON_SECRET, pensado
  para un systemd timer que lo llame periódicamente.

Verificado E2E con tarjeta de test: pago SumUp sin volver a la web -> el
backstop acredita los PD (idempotente). Credenciales y CRON_SECRET viven en
.env.local (fuera de git).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

web-next/lib/sumup.ts

@@ -106,3 +106,45 @@ export async function fulfillSumUpCheckout(reference: string): Promise<{ ok: boo
   const ok = await creditDPoints(Number(log.account_id), points)
   return { ok, paid: true }
 }
+
+/**
+ * Reconciliación: SumUp ya no ofrece webhooks, así que la entrega no puede
+ * depender de que el navegador vuelva al `return_url`. Esta función recorre los
+ * checkouts SumUp pendientes (fulfilled=0) registrados en `home_stripelog`,
+ * consulta su estado en la API de SumUp y acredita los que estén PAID.
+ *
+ * - Sin `accountId`: backstop global (para un cron). Con `accountId`: reconcilia
+ *   sólo los pendientes de esa cuenta (al cargar /account o /d-points).
+ * - Acota por antigüedad: los no pagados acaban EXPIRED en SumUp, no tiene
+ *   sentido reconsultarlos indefinidamente.
+ */
+export async function reconcileSumUpCheckouts(opts?: { accountId?: number; maxAgeDays?: number }): Promise<number> {
+  if (!sumupConfigured()) return 0
+  const maxAgeDays = opts?.maxAgeDays ?? 7
+  let sql =
+    "SELECT session_id FROM home_stripelog WHERE mode = 'sumup' AND fulfilled = 0 AND timestamp > (NOW() - INTERVAL ? DAY)"
+  const params: (string | number)[] = [maxAgeDays]
+  if (opts?.accountId) {
+    sql += ' AND account_id = ?'
+    params.push(opts.accountId)
+  }
+  sql += ' ORDER BY id DESC LIMIT 50'
+
+  let rows: RowDataPacket[]
+  try {
+    ;[rows] = await db(DB.default).query<RowDataPacket[]>(sql, params)
+  } catch {
+    return 0
+  }
+
+  let credited = 0
+  for (const r of rows) {
+    try {
+      const res = await fulfillSumUpCheckout(String(r.session_id))
+      if (res.ok) credited++
+    } catch {
+      /* seguir con el resto */
+    }
+  }
+  return credited
+}