Rate-limit authentication endpoints

Follow-up slice of #227.

Apply the established API rate-limit policy to the authentication router, which is outside the existing /api limiter.

Scope:
- protect authentication code exchange and logout routes consistently;
- add a focused regression test for requests exceeding the configured IP window;
- retain the current response contract and CSRF protection;
- do not add, inspect, store, or search email data.

Acceptance criteria:
- repeated authentication-route requests receive the standard 429 response;
- normal sign-in and logout behavior still works within the limit;
- server tests and CodeQL pass.

Production rollout validation remains part of #176.

Comienza leyendo la política establecida de límites de tasa de la API del issue de seguimiento #227 y localizando el router de autenticación, especialmente las rutas de intercambio de código y cierre de sesión. Añade cobertura de pruebas de servidor específica para las solicitudes que superen la ventana de IP configurada y, después, verifica la respuesta 429 estándar, el comportamiento existente de inicio y cierre de sesión, la protección CSRF y los resultados de CodeQL sin cambiar el contrato de respuesta.

Escrito por el modelo de indexación a partir del texto del issue.