feat(F-131): completed feature

work/artifacts/F-131/security.json

@@ -0,0 +1,15 @@
+{
+  "verdict": "APPROVED",
+  "reviewer": "security",
+  "feature_id": "F-131",
+  "summary": "Fix de proxy: añade query string al reenviar. No introduce nuevas superficies de ataque.",
+  "checks": [
+    "Sin cambios en autenticación / autorización (el cookie se sigue reenviando)",
+    "Sin cambios en validación de inputs (las queries llegan al backend que ya las valida con zod)",
+    "No se exponen endpoints nuevos: solo se reenvía lo que ya se aceptaba",
+    "El proxy sigue siendo un catch-all controlado",
+    "Sin riesgo de SSRF: la URL base del backend es fija (NEXT_PUBLIC_API_URL o localhost:3000)"
+  ],
+  "notes": "El cambio es estrictamente aditivo: añade info que antes se descartaba. Ningún vector de ataque nuevo.",
+  "reviewed_at": "2026-08-21T15:50:00Z"
+}