feat(F-125): completed feature

work/artifacts/F-125/security.json

@@ -0,0 +1,15 @@
+{
+  "verdict": "APPROVED",
+  "reviewer": "security",
+  "feature_id": "F-125",
+  "summary": "Cambios puramente de lógica de estados. Sin nuevas superficies de ataque.",
+  "checks": [
+    "Las transiciones siguen requiriendo rol admin (verificado en handler /orders/:id/transitions/admin)",
+    "Reembolso sigue siendo irreversible — terminales se mantienen",
+    "Email se sigue enviando al cliente en cada cambio (F-113)",
+    "Sin cambios en autenticación / autorización",
+    "Sin nuevas rutas / endpoints"
+  ],
+  "notes": "Sin impacto de seguridad. Riesgo operativo: un operador podría abusar haciendo ping-pong entre PROCESSING y SHIPPED, pero es responsabilidad del operador.",
+  "reviewed_at": "2026-08-21T15:58:00Z"
+}