feat(doctor): add fn doctor CLI + 14 functions for system management

Adds `fn doctor` read-only diagnostic command with subcommands artefacts,
services, sync, uses-functions, unused, and --json flag for agents.
Each subcommand wraps a registry function in functions/infra/.

New functions:
- artefact_doctor, services_status, pc_locations_drift,
  audit_uses_functions, find_unused_functions (Go diagnostics)
- backup_sqlite_db, rotate_backups, wait_for_http, wait_for_port,
  port_kill, tail_journal, pre_commit_hook_install (bash utilities)
- notify_telegram (Go HTTP)
- backup_all pipeline (tag launcher)

Plus prior session leftovers (scan_secrets_in_dirty, append_diary_entry,
git utilities, http_session_cookie_middleware, compile/full-git pipelines).

Fixes pc_locations_drift filepath.Join bug with absolute dir_path.
Documents fn doctor in CLAUDE.md, .claude/rules/fn_doctor.md (rule 23),
docs/architecture.md, CHANGELOG.md (2026-05-07), and diary entry.

First fn doctor uses-functions run found drift in 7/12 apps (deuda
para sincronizar app.md con imports reales).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

bash/functions/infra/pre_commit_hook_install.md

@@ -0,0 +1,62 @@
+---
+name: pre_commit_hook_install
+kind: function
+lang: bash
+domain: infra
+version: "1.0.0"
+purity: impure
+signature: "pre_commit_hook_install(repo_dir: string, [--force]) -> void"
+description: "Instala un hook pre-commit en .git/hooks/pre-commit de un repo dado. El hook invoca scan_secrets_in_dirty para abortar el commit si detecta secrets en archivos staged. Idempotente: si el hook ya esta instalado (marca fn_registry-pre-commit-v1) no lo sobreescribe a menos que se pase --force."
+tags: ["git", "hook", "precommit", "secrets"]
+uses_functions: ["scan_secrets_in_dirty_bash_cybersecurity"]
+uses_types: []
+returns: []
+returns_optional: false
+error_type: "error_go_core"
+imports: []
+params:
+  - name: repo_dir
+    desc: "Ruta al directorio raiz del repo Git (debe contener .git/hooks/)."
+  - name: --force
+    desc: "Flag opcional. Si se pasa, sobreescribe el hook aunque ya exista (hace backup con timestamp)."
+output: "Imprime INSTALLED <path> o SKIP <path> (already installed). Retorna exit code 1 si repo_dir no es un repo git valido, 2 si el hook existe y no es nuestro sin --force."
+tested: false
+tests: []
+test_file_path: ""
+file_path: "bash/functions/infra/pre_commit_hook_install.sh"
+---
+
+## Ejemplo
+
+```bash
+source bash/functions/infra/pre_commit_hook_install.sh
+
+# Instalar en el repo actual
+pre_commit_hook_install /home/lucas/fn_registry
+# INSTALLED /home/lucas/fn_registry/.git/hooks/pre-commit
+
+# Idempotente: segunda llamada no sobreescribe
+pre_commit_hook_install /home/lucas/fn_registry
+# SKIP /home/lucas/fn_registry/.git/hooks/pre-commit (already installed)
+
+# Forzar reinstalacion (hace backup del hook anterior)
+pre_commit_hook_install /home/lucas/fn_registry --force
+# INSTALLED /home/lucas/fn_registry/.git/hooks/pre-commit
+```
+
+## Notas
+
+Idempotente por diseno: la marca `# fn_registry-pre-commit-v1` en el hook generado sirve como identificador. Si el hook existe y tiene la marca, la funcion no sobreescribe a menos que se pase `--force`.
+
+Si el hook existe pero NO tiene la marca (es un hook ajeno), la funcion falla con exit 2 y un mensaje de error claro. Con `--force`, se hace backup a `pre-commit.bak.<timestamp>` antes de reescribir.
+
+El hook generado localiza `fn_registry` en dos pasos:
+1. La variable de entorno `FN_REGISTRY_ROOT` si esta definida.
+2. Si el repo donde se hace commit tiene `registry.db` en la raiz, asume que el propio repo es `fn_registry`.
+
+Si no puede localizar `fn_registry`, el hook imprime un aviso y sale con exit 0 (no bloquea el commit). Esto permite instalar el hook en repos externos al registry sin romper su flujo.
+
+Configurar `FN_REGISTRY_ROOT` en el perfil del shell para garantizar que el hook siempre encuentre el registry:
+```bash
+export FN_REGISTRY_ROOT=/home/lucas/fn_registry
+```