docs: documentar el instalador de Windows y corregir lo que contradecía al código

README afirmaba que la app no puede correr como servicio de Windows y sugería
NSSM, contradiciendo a install.ps1 desde que existe. LEEME.txt solo documentaba
el camino manual para Windows, mientras que para Linux ya traía el instalador.

BUILD.md gana -UpdateInPlace, las tres garantías al reemplazar el binario y el
remedio del token filtrado por UAC.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -1,5 +1,46 @@
 # Changelog
 
+## [Sin publicar]
+
+### Instalación y actualización desatendidas en Windows
+
+El instalador de Windows nunca recibió la maquinaria de actualización segura que sí tiene
+`install.sh`, y la asimetría se notaba en producción: actualizar desde el PANEL dejaba el
+servidor sin agente, o fallaba con un error que no correspondía.
+
+- **`install.ps1 -UpdateInPlace`**: actualiza una instalación existente conservando su tarea
+  programada y su configuración, y sin correr el bootstrap (una segunda instancia purgaría el
+  `Temp\` de la que está viva). Es el modo que usa el PANEL para actualizar.
+- **No se interrumpe una restauración en curso** (`Temp\` no vacío): sale con **75**
+  (`EX_TEMPFAIL`), que el PANEL traduce a "reintenta luego". Windows no tenía esta guarda y una
+  reinstalación a destiempo se llevaba por delante el respaldo que se estuviera restaurando,
+  dejándolo vetado y la base en `SINGLE_USER`.
+- **Respaldo y reversión automática**: si el binario nuevo no arranca, se vuelve al anterior.
+  El respaldo solo se descarta tras confirmar que la versión nueva corre.
+- **Rearranque garantizado en todos los modos.** La detención corría siempre, pero solo
+  `-Service` volvía a arrancar algo: actualizar con `desktop` o `none` mataba el agente y se iba
+  sin dejar señal.
+- La espera a que el SO libere el `.exe` pasa de 5 s a 30 s con reintentos de la copia: con un
+  antivirus escaneando un onefile de ~270 MB, 5 s se quedaban cortos y la copia abortaba.
+- Se distingue **"no es administrador"** de **"es administrador con el token filtrado por UAC"**,
+  que es lo que recibe una sesión de OpenSSH. Se veían idénticos y el remedio es el opuesto: el
+  segundo no se arregla cambiando de cuenta sino con `LocalAccountTokenFilterPolicy`.
+
+### `--headless` ahora funciona en Windows
+
+`_ensure_qt_platform()` salía de inmediato en `win32`, así que la bandera no hacía nada ahí. La
+tarea ONSTART corre como SYSTEM en la sesión 0, sin escritorio interactivo, y arrancaba con el
+plugin Qt `windows` intentando crear una ventana real. En Linux el mismo modo funcionaba porque
+el unit de systemd fija `QT_QPA_PLATFORM=offscreen` por fuera, y esa asimetría escondió el
+defecto. Ahora `--headless` fuerza `offscreen` en todas las plataformas y no se muestra ventana.
+
+### Documentación
+
+- `README.md` afirmaba que la app no puede correr como servicio de Windows y sugería NSSM, lo
+  que contradecía a `install.ps1` desde que existe. Corregido.
+- `packaging/LEEME.txt` solo documentaba el camino manual para Windows; ahora incluye el
+  instalador, igual que ya hacía para Linux.
+
 ## [1.1.0] - 2026-07-29
 
 ### Distribución e instalación automatizada vía Gitea + PANEL