Fase 1 — Binario wget universal y moderno (BLOQUEANTE)

[jnavarroc]

Sustituir el wget i386/ppc (no arranca en macOS 10.15+) por uno universal y con TLS moderno.

• buildwget.sh: compilar wget ≥ 1.25 (configurable, por defecto 1.25.0).
• buildwget.sh: TLS moderno con OpenSSL enlazado estáticamente (sin dylibs de Homebrew).
• buildwget.sh: binario universal arm64 + x86_64 con lipo.
• buildwget.sh: verificación de integridad de fuentes (.sha256 de OpenSSL, firma GPG de wget, STRICT_VERIFY).
• buildwget.sh: instalación opcional en el .app (APP_BUNDLE= / argumento posicional).
• Validar el script en una máquina macOS: otool -L wget (solo /usr/lib y /System), file wget (universal) y una descarga HTTPS real. Ajustar libidn2/libpsl si aparecen.
• Decisión de arquitectura (ver issue de Decisiones): empaquetar wget vs. libcurl/URLSession.
• Re-firmar el binario con Developer ID y notarizarlo junto con la app.
• --http-passwd → --http-password en DownloadItem.m. (PR Modernización segura (Fase 2): APIs obsoletas, format strings y metadatos #11)

Criterio de salida: file wget reporta arm64/x86_64 y una descarga HTTPS real funciona.

Ref: ROADMAP.md → Fase 1.