feat(infra): rate limit middlewares HTTP por IP y por key + tests

Implementa fase 2 del issue 0016:
- rate_limit_middleware: limita por IP (X-Forwarded-For > X-Real-IP > RemoteAddr)
- rate_limiter_by_key: middleware configurable con keyFunc custom (API key, user ID...)
- Cuando se rechaza responde 429 con HTTPError JSON y headers Retry-After + X-RateLimit-*
- Tests con httptest.NewRecorder cubriendo: limite, burst, IPs independientes, XFF prioritario,
  recarga temporal, JSON body, headers IETF, GC stop idempotente, key vacia salta limit

functions/infra/rate_limit_middleware.md

@@ -0,0 +1,41 @@
+---
+name: rate_limit_middleware
+kind: function
+lang: go
+domain: infra
+version: "1.0.0"
+purity: impure
+signature: "func RateLimitMiddleware(rl *RateLimiter) Middleware"
+description: "Middleware HTTP que aplica rate limiting por IP del cliente. Extrae IP de X-Forwarded-For, X-Real-IP o RemoteAddr. Responde 429 con headers Retry-After y X-RateLimit-* cuando se supera el limite."
+tags: [rate_limit, http, middleware, ip, server, infra]
+uses_functions: [rate_limiter_by_key_go_infra]
+uses_types: [RateLimiter_go_infra, Middleware_go_infra]
+returns: [Middleware_go_infra]
+returns_optional: false
+error_type: "error_go_core"
+imports: [net, net/http, strings]
+params:
+  - name: rl
+    desc: "puntero al RateLimiter compartido entre todos los requests"
+output: "Middleware que limita por IP del cliente y responde 429 cuando se excede"
+tested: true
+tests: ["permite request bajo el limite", "responde 429 cuando se excede el limite", "IPs distintas tienen buckets independientes", "X-Forwarded-For tiene prioridad sobre RemoteAddr", "responde con Retry-After header en 429"]
+test_file_path: "functions/infra/rate_limit_middleware_test.go"
+file_path: "functions/infra/rate_limit_middleware.go"
+---
+
+## Ejemplo
+
+```go
+rl := RateLimiterNew(10, 20)
+chain := HTTPMiddlewareChain(
+    HTTPCORSMiddleware([]string{"*"}, []string{"GET", "POST"}),
+    RateLimitMiddleware(rl),
+    HTTPLoggerMiddleware(os.Stderr),
+)
+http.ListenAndServe(":8080", chain(mux))
+```
+
+## Notas
+
+Funcion impura — el middleware producido muta el estado del limiter en cada request. Internamente delega en `RateLimiterByKey` con un keyFunc que extrae la IP segun cabeceras estandar de proxy. La extraccion de IP confia en X-Forwarded-For: para uso publico real habria que validar contra trusted proxies para evitar spoofing. Para entornos internos (deploy con Traefik/Nginx delante) es seguro.