feat(devsecops): agregar Gitleaks al pipeline del frontend

Corre en push y pull_request, antes del job build (needs: gitleaks).
Si detecta un secreto, exit-code=1 detiene el pipeline antes de
construir la imagen. Scan histórico completo del repo (249 commits)
confirmado limpio, corrido aparte de forma manual.

Documenta el step en docs/devsecops/gitleaks.md: qué es secret
scanning, por qué corre antes del build, cómo leer un hallazgo y
cómo manejar falsos positivos con allowlist.

workloads/docs-portal/mkdocs.yml

@@ -98,6 +98,8 @@ nav:
   - Guía del estudiante:
       - Inicio: guia-estudiante/README.md
       - Conceptos básicos: guia-estudiante/conceptos-basicos.md
+  - DevSecOps:
+      - Gitleaks (secretos): devsecops/gitleaks.md
 
 extra:
   social: