Versão da API e assinatura do contrato

F-61. Pública: sem autenticação, sem `X-CommunityId` e sem banco. O app consulta a cada 5 minutos (com a aba visível) para avisar que há versão nova. `commit` é o commit do release da API, só para diagnóstico. `contract` é um SHA-256 do contrato (caminhos, métodos, parâmetros, corpos e respostas, e os componentes a que apontam), em JSON canônico, **sem** `description`, `summary` nem `example`, calculado no boot: só muda quando o contrato muda, e então o app pede para atualizar a página. Resposta com `Cache-Control: no-store`; CORS aberto a qualquer origem (o app e os domínios próprios das comunidades), sem credenciais.