Fix: el logout no invalidaba el JWT del lado del servidor

logout() solo registraba auditoría, el JWT emitido en login seguía siendo válido hasta su vencimiento (5 h) aunque el usuario cerrara sesión.

logout() ahora actualiza credencialesVigentesDesde del usuario autenticado, el mismo campo que ya usa el cambio de contraseña para que JwtTokenUtil.validateToken() rechace cualquier JWT con iat anterior a esa marca.