fix(dev): los certificados de pruebas se instalan en macOS, en el SoftHSM de Homebrew y en un llavero aparte

[sgomez]

Qué cambia

• SoftHSM de Homebrew en macOS. testdata/softhsm/platform.sh elige la ruta del módulo y la orden de instalación según el sistema. Lo cargan certs.sh, provision-token.sh y scripts/isolated-store.sh. Las pruebas en Rust leen el módulo desde tests/support/softhsm.rs, en vez de repetir la ruta de Linux en cada fichero.
• just keychain-certs install|uninstall (solo macOS). Importa los .p12 de testdata/fnmt/ en un llavero aparte, rfirma-test.keychain-db, que se añade a la lista de búsqueda del usuario. uninstall borra ese llavero y no toca el de inicio de sesión.

Las mejoras que quedan en los scripts de certificados, en #2055.

[sgomez]

CLEAN

Alcance: completo (primera revisión), contra origin/main. Sin spec de origen: la PR no cierra ningún issue (solo remite a #2055), así que no hay comprobación de fidelidad a la spec.

Checks: aún en marcha en 8d718066: Plataformas / macOS, Plataformas / Windows, Cadena Rust, Cadena Java, Cadena TypeScript, Imagen nativa y los Analyze de CodeQL. Los resuelve la puerta de merge.

Sin [blocking] ni [fix].

[note]

• testdata/keychain/certs.sh: si algo falla después de create-keychain (p. ej. un openssl sin -legacy, como el LibreSSL de /usr/bin si el de Homebrew no va antes en el PATH), el llavero queda a medio llenar y en la lista de búsqueda, y el siguiente install se niega con «ya existe». El mensaje ya dice cómo salir (uninstall + install); comprobar openssl antes de crear el llavero, o borrarlo en un trap de error, evitaría el estado intermedio.
• tests/support/softhsm.rs: dos pares de #[cfg(target_os)] (la función y la constante INSTALL); un único par que devuelva ruta y orden juntas dejaría un solo sitio de cfg en el fichero recién autorizado en single_cfg_os_site.rs.
• tests/command_line/support.rs: the_card_module ahora respeta RFIRMA_PKCS11_MODULE, que antes ignoraba. Es coherente con el resto y con que command_line.rs le pase esa misma variable al binario; lo apunto solo porque cambia el comportamiento.