CI: puerta de código en todos los PR (ruff, pytest, tsc, eslint)

Antes, un PR que tocara sólo `backend/app/security/` o `backend/app/routers/` no
disparaba NINGÚN workflow: el único que existía filtraba por rutas y nombraba
`backend/app/ai/**` y `backend/app/rag/**`. Toda la superficie de autenticación,
sesiones, CSRF e ingesta de laboratorio se fusionaba sin que nadie ejecutara
`backend/tests/`, que nunca ha corrido en CI pese a estar en `make backend-test`.

`ci.yml` corre en todos los PR, sin filtro: ruff + pytest (backend) y tsc --noEmit
+ eslint (frontend). El alcance de ruff es el de `make lint` (evals/ y bridge/
fuera a propósito). Sin `--group rag`: las dos suites que lo necesitan ya se
auto-omiten y los grupos pesados costarían GBs por una prueba sintética.

`evals.yml` conserva su filtro —es la puerta cara— pero se amplía a `backend/**`
y `frontend/**`: el anterior dejaba fuera `schemas.py`, que define la forma misma
que las evals puntúan, y `config.py`.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.github/workflows/ci.yml

@@ -0,0 +1,59 @@
+name: ci
+
+# Puerta de calidad del CÓDIGO (rápida). La puerta clínica —motor determinista y evals— vive
+# en `evals.yml`, que sí filtra por rutas porque su coste es otro.
+#
+# Este workflow NO lleva filtro `paths` a propósito: antes, un PR que tocara sólo
+# `backend/app/security/` o `backend/app/routers/` no disparaba NINGÚN workflow, así que toda
+# la superficie de autenticación, sesiones, CSRF y ingesta de laboratorio se fusionaba sin que
+# nadie ejecutara `backend/tests/`. Cualquier PR corre esto.
+
+on:
+  pull_request:
+  push:
+    branches: [main]
+
+jobs:
+  backend:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: astral-sh/setup-uv@v5
+        with:
+          enable-cache: true
+      - name: Sincronizar backend
+        working-directory: backend
+        # Sin `--group rag`: los grupos pesados son opt-in (ver pyproject) y las dos suites que
+        # dependen de LanceDB/sentence-transformers ya se auto-omiten
+        # (`test_retriever_integracion.py`, `test_alcance_corpus.py`). Instalarlos aquí añadiría
+        # GBs y minutos a cambio de una prueba de integración sintética. Si algún día la
+        # recuperación regresa sin que nadie se entere, ese es el momento de añadirlos.
+        run: uv sync
+      - name: Ruff (backend + scripts)
+        working-directory: backend
+        # Mismo alcance que `make lint`: evals/ y bridge/ quedan fuera a propósito, aún no
+        # están saneados bajo estas reglas.
+        run: uv run ruff check . ../scripts
+      - name: Pruebas del backend
+        working-directory: backend
+        run: uv run pytest -q
+
+  frontend:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-node@v4
+        with:
+          node-version: "22"
+          cache: npm
+          cache-dependency-path: frontend/package-lock.json
+      - name: Instalar frontend
+        working-directory: frontend
+        run: npm ci
+      - name: Tipos (tsc --noEmit)
+        working-directory: frontend
+        # `npm run build` ya lo corría, pero nada ejecutaba el build en CI.
+        run: npm run typecheck
+      - name: ESLint
+        working-directory: frontend
+        run: npm run lint

.github/workflows/evals.yml

@@ -1,14 +1,20 @@
 name: evals
 
-# Puerta de calidad: bloquea el merge si el motor determinista regresa o si la suite
-# de evaluación clínica cae bajo sus umbrales o registra violaciones de seguridad.
+# Puerta de calidad CLÍNICA: bloquea el merge si el motor determinista regresa o si la suite
+# de evaluación cae bajo sus umbrales o registra violaciones de seguridad.
+#
+# Este sí filtra por rutas —es el workflow caro— pero el filtro anterior era demasiado
+# estrecho: nombraba `backend/app/ai/**` y `backend/app/rag/**`, dejando fuera `schemas.py`
+# (que define `InterpretacionClinica`, la forma misma que las evals puntúan) y `config.py`
+# (umbrales y ruta de modelo por defecto). Un cambio ahí alteraba la salida evaluada sin
+# disparar la puerta. Las puertas de código —ruff, pytest, tsc, eslint— viven en `ci.yml`,
+# que corre en TODOS los PR sin filtro.
 
 on:
   pull_request:
     paths:
-      - "frontend/src/**"
-      - "backend/app/ai/**"
-      - "backend/app/rag/**"
+      - "frontend/**"
+      - "backend/**"
       - "evals/**"
       - "data/**"
   push:
@@ -44,6 +50,13 @@ jobs:
       - name: Instalar deps del motor (para el puente Node)
         working-directory: frontend
         run: npm ci
+      # Antes de la puerta, la puerta misma: métricas, rúbrica, umbrales y esquema del dataset
+      # son código sin cobertura de nadie más. Si el medidor está roto, el resultado de la
+      # puerta no significa nada (visto: el simulador dejaba `fuera_de_alcance` sin declarar y
+      # suspendía una métrica de tolerancia cero por su cuenta).
+      - name: Pruebas unitarias de los scripts de evals
+        working-directory: backend
+        run: uv run pytest -q ../evals/tests
       # En CI real, sustituir --simular por --modelo medgemma apuntando a un endpoint,
       # o subir un archivo de predicciones generado en un job con GPU.
       #