feat: operator docs, Gitea push guide, and creatives API scaffold

Unblock ops with marketing@ provisioning steps and start multi-tenant creatives against Supabase RLS.

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/PUSH.md

@@ -0,0 +1,32 @@
+# Push a Gitea (bloqueado sin token)
+
+HTTPS a `git.4ventures.es` exige autenticación. SSH :22 hace timeout (solo HTTPS público).
+
+## Crear token (1 vez)
+
+1. Entra en https://git.4ventures.es (usuario con acceso a `Marketing/4ventures-client-portal`).
+2. Settings → Applications → Generate New Token  
+   - Nombre: `cursor-push`  
+   - Scopes: `write:repository`
+3. Copia el token (solo se muestra una vez).
+
+## Push de la rama de seguridad
+
+```bash
+cd /Users/4ventures/4ventures-client-portal
+git checkout harden/auth-tenant-security
+
+# Opción A — URL con usuario (el SO pedirá contraseña = el token)
+git push -u origin harden/auth-tenant-security
+
+# Opción B — token en URL (no dejarlo en historial de shell si puedes evitarlo)
+# git push -u https://USER:TOKEN@git.4ventures.es/Marketing/4ventures-client-portal.git HEAD
+```
+
+Usuario Gitea típico: el de Marcos / marketing (el que pueda escribir en Marketing).
+
+## Después del push
+
+1. Dokploy → servicio `app` → Redeploy / pull `harden/auth-tenant-security` o merge a `main`.
+2. `curl -sf https://app.4ventures.es/api/health`
+3. Login con operador aprovisionado (ver `docs/OPERATOR.md`).