Se corrige el manejo del secreto JWT para evitar que la clave de firma quede definida directamente en el código fuente.

Cambios realizados:
- Se elimina la clave JWT hardcodeada en JwtService.
- Se inyecta el secreto mediante la propiedad jwt.secret.
- Se configura jwt.secret para leer desde la variable de entorno JWT_SECRET.
- Se agrega JWT_SECRET a credenciales.env
- Se actualiza README con la variable JWT_SECRET en la documentación de configuración.