test: Middleware — rate limiter y guard admin

**Prioridad:** P2 · **Tipo:** unit/integración · **Iteración:** 3 · **Archivo:** `src/middleware.ts`

### Checklist
- [ ] supera `RATE_LIMIT_IP_MAX` en la ventana → 429
- [ ] rutas auth aplican el límite más estricto
- [ ] `/api/admin` sin token `isAdmin` → 403
- [ ] evicción de buckets al llegar a `MAX_BUCKETS`