feat: v1 — boilerplate WxO + web

Boilerplate completo para construir soluciones agénticas sobre IBM
watsonx Orchestrate (ADK 2.x) con una capa web encima.

Destilado de cotemar-poc-n1 y dun-casos-prueba. Incluye:

- 11 docs (best practices, architecture patterns, ADK cheatsheet,
  observability, tool authoring, deployment, RUNBOOK, DEPLOY_TO_NEW_WOX,
  known-issues con 16 errores reales y fix, eval strategy, INDEX)
- 13 templates WxO (orchestrator/specialist/single-meta agents,
  3 connections, KB + runbook, observable_tool decorator, coercion
  helpers, Python tools, OpenAPI spec, backend filter endpoint, webhook
  validator HMAC, MCP connection)
- 6 scripts (deploy idempotente con fallback ADK, undeploy, reset,
  check-adk-version, new-specialist scaffold, eval-agents runner)
- 4 eval pieces (linter de best practices, runner, smoke-test, direct
  backend probe) + scenario templates
- 8 subagentes Claude (.claude/agents/) — wxo-architect, wxo-agent-author,
  wxo-tool-author, runbook-author, mock-builder, backend-tool-builder,
  eval-author, web-layer-builder
- Skill bundle fit-wxo-bootstrap/ (SKILL.md + 3 templates) listo para
  copiar a ~/.claude/skills/
- Web layer default FastAPI+HTMX con vista timeline observable + endpoint
  receptor de trazas
- Docker compose Coolify-ready (healthcheck wget -qO-, sin labels Traefik,
  network split internal:true)
- CI Gitea workflow con lint + smoke

Best practices enforced por evals/lint_wxo_yaml.py:
- A1: máx 10 tools por agente
- A3: orchestrator sin tools de remediación
- A6: agente sin propósito (react sin tools ni KB)
- T1: @observable_tool obligatorio, no @tool directo
- T3: _compat shim inline en tools.py
- D1: docker-compose sin wget --spider
- I-005: OpenAPI con description per-operation
- I-009: sin labels Traefik manuales

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

wxo/connections/_template-apikey-header.yaml

@@ -0,0 +1,29 @@
+# ─────────────────────────────────────────────────────────────────────────────
+# Template — Connection API KEY con HEADER CUSTOM (estilo Dun)
+#
+# Para producción: el sistema externo exige un token, pero NO podemos
+# usar `Authorization: Bearer` porque choca con el IAM token que
+# Orchestrate ya inyecta para llamar al tool (regla C2).
+#
+# Solución: usar un header custom como `X-Orchestrate-Token`.
+# ─────────────────────────────────────────────────────────────────────────────
+
+spec_version: v1
+kind: connection
+name: REPLACE_app_name                # ej: buro_backend
+display_name: "REPLACE Display Name"
+description: |
+  Connection a REPLACE_SISTEMA con API key en header custom.
+schema_version: "1.0"
+
+auth_type: api_key
+identifier: REPLACE_app_name_apikey
+
+# Header custom (NO Authorization: Bearer).
+api_key_header: "X-Orchestrate-Token"
+
+preference:
+  - environment: draft
+    schema_id: api_key
+  - environment: live
+    schema_id: api_key

wxo/connections/_template-keyvalue.yaml

@@ -0,0 +1,25 @@
+# ─────────────────────────────────────────────────────────────────────────────
+# Template — Connection KEY_VALUE (sin auth)
+#
+# Para mocks demo o sistemas internos sin auth. La credencial es solo
+# BASE_URL — la tool la lee del env.
+# ─────────────────────────────────────────────────────────────────────────────
+
+spec_version: v1
+kind: connection
+name: REPLACE_app_name                # ej: unus_demo, ad_demo
+display_name: "REPLACE Display Name"
+description: |
+  Connection a REPLACE_SISTEMA.
+  Auth: none (mock / sistema interno sin auth).
+schema_version: "1.0"
+
+auth_type: key_value
+identifier: REPLACE_app_name_kv
+
+# IMPORTANTE: declarar BOTH draft Y live (issue I-004).
+preference:
+  - environment: draft
+    schema_id: key_value
+  - environment: live
+    schema_id: key_value

wxo/connections/_template-mcp.yaml

@@ -0,0 +1,34 @@
+# ─────────────────────────────────────────────────────────────────────────────
+# Template — Connection MCP
+#
+# Para sistemas que exponen un MCP server (HubSpot, Outline, GitHub MCP,
+# etc.). ADK descubre las tools del server automáticamente.
+# ─────────────────────────────────────────────────────────────────────────────
+
+spec_version: v1
+kind: connection
+name: REPLACE_mcp_app_name           # ej: hubspot_mcp
+display_name: "REPLACE Display Name"
+description: |
+  Connection MCP a REPLACE_SISTEMA. Las tools se descubren del server.
+schema_version: "1.0"
+
+auth_type: mcp
+identifier: REPLACE_mcp_app_name_conn
+
+preference:
+  - environment: draft
+    schema_id: mcp
+  - environment: live
+    schema_id: mcp
+
+# Setup post-import:
+#   orchestrate connections set-credentials -a REPLACE_mcp_app_name \
+#     --env draft \
+#     -e "MCP_SERVER_URL=https://mi-mcp-server.example.com" \
+#     -e "MCP_TOKEN=$MCP_TOKEN"
+#
+# En el YAML del agente que use estas tools:
+#   tools:
+#     - REPLACE_mcp_app_name/tool_descubierta_1
+#     - REPLACE_mcp_app_name/tool_descubierta_2