feat(subtitles): subtitle-fetch jobs vía sync + auto-fetch opcional en scan

El web empuja SubtitleFetchRequest por el sync (URL del proxy, ya
charset-fixed a WebVTT); el daemon lo descarga y lo escribe como sidecar
<base>.<lang>.vtt junto al medio (contención en scan paths con
EvalSymlinks, cap 10 MiB) y reporta done/failed en el siguiente sync
para que el web marque el job. Config nueva library.subtitles
(auto_fetch + languages) para el auto-fetch en scan, off por defecto.

internal/vpn/vpn.go

@@ -174,11 +174,11 @@ type wgConf struct {
 	dns        []netip.Addr
 	mtu        int
 
-	peerPublicKey  string // hex
-	presharedKey   string // hex (optional)
-	endpoint       string // resolved ip:port
-	allowedIPs     []string
-	keepalive      int
+	peerPublicKey string // hex
+	presharedKey  string // hex (optional)
+	endpoint      string // resolved ip:port
+	allowedIPs    []string
+	keepalive     int
 }
 
 func (w *wgConf) uapi() string {