El token de seguridad caducado ya no vale; traducir 2 errores que faltaban

checkSecurityToken guardaba expires_at pero NO lo comprobaba: un token
caducado seguía siendo válido para regalos y servicios. Se comprueba en SQL
(`expires_at > NOW()`) y no en JS, para que los dos lados de la comparación
sean hora del servidor: expires_at se inserta como Date de JS y compararlo
contra Date.now() dependería de que Node y MySQL tuvieran la misma zona.

Además faltaban `errors.notAuthenticated` e `invalidRequest` en el namespace
Store (ES y EN): si se caducaba la sesión, send-gift decía «Ha ocurrido un
error» en vez de pedir que vuelvas a iniciar sesión — justo el mensaje que
hace pensar que el botón sigue roto.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

web-next/lib/security-token.ts

@@ -45,11 +45,18 @@ export async function requestSecurityToken(session: SessionData, ip: string): Pr
   return { success: true, tokenDate: created[0] ? new Date(created[0].created_at).toISOString() : undefined }
 }
 
-/** Comprueba que el token coincide con el de la cuenta. */
+/**
+ * Comprueba que el token coincide con el de la cuenta y NO ha caducado.
+ *
+ * La caducidad se evalúa en SQL (`expires_at > NOW()`) a propósito: `expires_at`
+ * se inserta como Date de JS y se guarda en la zona horaria del servidor, así que
+ * compararlo aquí contra `Date.now()` dependería de que Node y MySQL coincidan.
+ * Comparando dentro de MySQL, ambos lados son hora del servidor.
+ */
 export async function checkSecurityToken(userId: number, token: string): Promise<boolean> {
   const [rows] = await db(DB.default).query<RowDataPacket[]>(
-    'SELECT token FROM securitytoken WHERE user_id = ? ORDER BY created_at DESC LIMIT 1',
+    'SELECT token, expires_at > NOW() AS valid FROM securitytoken WHERE user_id = ? ORDER BY created_at DESC LIMIT 1',
     [userId],
   )
-  return Boolean(rows[0] && rows[0].token === token)
+  return Boolean(rows[0] && rows[0].token === token && rows[0].valid)
 }