feat(tls,reality): port xray TLS/REALITY fields, cert-hash helpers, fallback UX

TLS: add verifyPeerCertByName (vcn) to inbound settings + emit in both share-link generators (frontend + Go sub) and outbound parser; the allowInsecure replacement xray removed after 2026-06-01. Add server-side curvePreferences, masterKeyLog, echSockopt (passthrough + form) at tlsSettings top-level so they survive the panel-only settings strip.

REALITY: add limitFallbackUpload/Download (afterBytes/bytesPerSec/burstBytesPerSec) with per-field tooltips, plus masterKeyLog. Verified field names/semantics against pinned xray v1.260327.1 (bytesPerSec=0 disables).

Hosts: fix verify_peer_cert_by_name column bool->string (xray expects comma-separated names) with an idempotent, history-gate-free migration (SQLite typeof blank; Postgres ALTER once); emit vcn for hosts/external proxies.

Server: add getCertHash (local cert DER SHA-256) and getRemoteCertHash (xray tls ping) endpoints + api-docs; wire pinned-cert field buttons. Drop the meaningless random-hash button.

Xray UI: metrics endpoint (listen/tag) config in Basics; import/export for routing rules and outbounds.

Fallbacks card: compact empty state, header-aligned actions, responsive labeled grid rows.

i18n: add all new keys to every locale; drop unused generateRandomPin.

internal/web/translation/es-ES.json

@@ -591,8 +591,28 @@
         "pinnedPeerCertSha256": "SHA-256 del cert. del par fijado",
         "pinnedPeerCertSha256Tip": "Hashes SHA-256 del certificado del par como cadena hexadecimal (p. ej. e8e2d3…), separados por comas. Solo en el panel — no se escribe en la config xray del servidor, pero se incluye en los enlaces para que los clientes puedan fijar el certificado.",
         "pinnedPeerCertSha256Placeholder": "hash(es) hexadecimal, separados por comas",
-        "generateRandomPin": "Generar hash aleatorio",
         "getNewEchCert": "Obtener nuevo cert ECH",
+        "echSockopt": "ECH Sockopt",
+        "echSockoptTip": "Opciones de socket para la conexión que Xray usa al obtener la lista de configuración ECH (por ejemplo, enrutar la consulta a través de una salida dialerProxy). Déjalo deshabilitado para usar los valores por defecto.",
+        "curvePreferences": "Preferencias de curvas",
+        "curvePreferencesTip": "Restringe las curvas de intercambio de claves TLS que ofrece el servidor, por orden de preferencia (por ejemplo, X25519MLKEM768, X25519). Déjalo vacío para usar los valores por defecto de Xray-core.",
+        "masterKeyLog": "Registro de clave maestra",
+        "masterKeyLogTip": "Ruta donde escribir las claves maestras TLS (formato SSLKEYLOGFILE) para depurar con Wireshark. Déjalo vacío en producción — permite que cualquiera con el archivo descifre el tráfico.",
+        "verifyPeerCertByName": "Verificar cert. del par por nombre",
+        "verifyPeerCertByNameTip": "Indica a los clientes que verifiquen el certificado del servidor con este nombre en lugar del SNI. Nombres separados por comas. Solo en el panel — se incluye en los enlaces (vcn). El reemplazo moderno de allowInsecure, que Xray eliminó después del 2026-06-01.",
+        "pinFromCert": "Rellenar desde el certificado de este inbound",
+        "pinFromRemote": "Obtener el hash haciendo ping al SNI (xray tls ping)",
+        "pinFromRemoteNoSni": "Establece primero el SNI (serverName) para hacer ping al certificado remoto.",
+        "pinFromRemoteFailed": "No se pudo obtener el hash del certificado remoto.",
+        "limitFallback": "Limitar fallback",
+        "limitFallbackUpload": "Limitar subida del fallback",
+        "limitFallbackDownload": "Limitar bajada del fallback",
+        "afterBytes": "Tras bytes",
+        "afterBytesTip": "Deja que el fallback funcione a máxima velocidad durante esta cantidad de bytes y luego empieza a limitar. 0 = limitar desde el primer byte.",
+        "bytesPerSec": "Bytes por seg.",
+        "bytesPerSecTip": "Límite de velocidad (bytes/seg.) aplicado al tráfico del fallback tras el umbral, para que las sondas no puedan usar tu servidor como ancho de banda gratuito hacia el destino. 0 = sin límite (deshabilita esta dirección).",
+        "burstBytesPerSec": "Ráfaga de bytes por seg.",
+        "burstBytesPerSecTip": "Margen para ráfagas breves por encima de la tasa constante (tamaño del token-bucket). Si es menor que Bytes por seg., se eleva para igualarlo.",
         "show": "Mostrar",
         "xver": "Xver",
         "target": "Objetivo",
@@ -1389,6 +1409,14 @@
       "bufferSizeDesc": "Tamaño del búfer interno por conexión en KB. Ponlo en 0 para minimizar el uso de memoria en servidores con poca RAM (el valor predeterminado de Xray depende de la plataforma).",
       "bufferSizePlaceholder": "automático",
       "seconds": "segundos",
+      "importRules": "Importar reglas",
+      "exportRules": "Exportar reglas",
+      "importOutbounds": "Importar salidas",
+      "exportOutbounds": "Exportar salidas",
+      "importInvalidJson": "JSON no válido — se esperaba un array o un objeto con una clave coincidente.",
+      "metricsListen": "Punto de métricas",
+      "metricsListenDesc": "Expone las métricas estilo Prometheus de Xray en esta dirección:puerto (por ejemplo, 127.0.0.1:11111). Déjalo vacío para deshabilitarlo. Vincúlalo a localhost y ponlo tras un proxy inverso — no está autenticado.",
+      "metricsTag": "Etiqueta de métricas",
       "rules": {
         "first": "Primero",
         "last": "Último",