Cuenta de externas, arreglos de seguridad, títulos arriba y despliegue

- Rol «externas» para la asamblea de externas: pide sin cupo, siempre con el
  colectivo de fuera y su contacto, y sus solicitudes salen en naranja hasta
  que la asamblea de la Enre las confirma.
- /pedir/ explica en una línea que los colectivos externos piden fecha en la
  asamblea de externas, los lunes de 19:00 a 20:00.
- Seguridad: argon2 limitado a dos cálculos a la vez y el intento se cuenta
  antes de calcular (60 accesos simultáneos llevaban el proceso a 3,8 GB);
  bloqueo por cuenta a 20 fallos para que no se pueda dejar fuera a la
  asamblea; avisos por sesión en vez de por URL; sig sin «..»; eventos de
  31 días como mucho; parámetros de argon2 acotados.
- Títulos pegados arriba en todas las páginas; la franja de la enredadera
  recupera ese alto para seguir llenando la pantalla.
- despliegue/: instalar.sh, cuenta.sh, servicio de systemd con el proceso
  encerrado, fragmento de nginx que además deja de servir .git y las notas
  internas, y configuración de ejemplo. Ninguna contraseña en el repositorio.

gestor/config.go

@@ -32,7 +32,7 @@ func ConfigPorDefecto() Config {
 		Escucha:       "127.0.0.1:8090",
 		BaseURL:       "https://www.laenre.net",
 		DirDatos:      "/var/lib/enrecal",
-		DirPlantillas: "/var/www/laenre/gestor/plantillas",
+		DirPlantillas: "/opt/enrecal/plantillas",
 		DirEstatico:   "/var/www/laenre",
 		LogAuth:       "/var/log/enrecal/auth.log",
 		CookieSegura:  true,
@@ -89,6 +89,11 @@ func (c Config) Validar() error {
 const (
 	inactividadSesion = 8 * time.Hour
 	maxIntentos       = 5
+	// Por cuenta el tope es más alto que por IP: si fuera 5, cualquiera podría
+	// dejar a la asamblea sin entrar fallando 5 veces cada cuarto de hora. Con
+	// argon2 y claves de 12 caracteres, 20 intentos cada 10 minutos no bastan
+	// para adivinar nada.
+	maxIntentosCuenta = 20
 	ventanaIntentos   = 10 * time.Minute
 	esperaBloqueo     = 15 * time.Minute
 )