Usuario vendedor y pestaña descargas

backend/server.js

@@ -576,7 +576,7 @@ app.post('/api/usuarios', requireUserManagement, async (req, res) => {
   if (contraseña.length < 6) {
     return res.status(400).json({ error: 'La contraseña debe tener al menos 6 caracteres' });
   }
-  if (!['admin', 'editor'].includes(rol)) {
+  if (!['admin', 'editor', 'vendedor'].includes(rol)) {
     return res.status(400).json({ error: 'Rol inválido' });
   }
 
@@ -588,7 +588,7 @@ app.post('/api/usuarios', requireUserManagement, async (req, res) => {
       return res.status(409).json({ error: 'Ya existe un usuario con ese nombre' });
     }
 
-    // Admin siempre tiene todos los permisos; editor recibe la lista enviada
+    // Admin siempre tiene todos los permisos; editor/vendedor reciben la lista enviada
     const permisosFinal = rol === 'admin'
       ? []
       : (Array.isArray(permisos) ? permisos : []);
@@ -606,7 +606,7 @@ app.put('/api/usuarios/:usuario', requireUserManagement, async (req, res) => {
   const targetUsuario = req.params.usuario;
   const { contraseña, rol, permisos } = req.body || {};
 
-  if (rol && !['admin', 'editor'].includes(rol)) {
+  if (rol && !['admin', 'editor', 'vendedor'].includes(rol)) {
     return res.status(400).json({ error: 'Rol inválido' });
   }
   if (contraseña && contraseña.length < 6) {