feat(Bimex): auditar-vite-pinata-secret-confirmar-que-sea-jwt

[Caneryy]

Closes #145

Summary

• Auditar VITE_PINATA_SECRET: confirmar que sea JWT público o moverlo a proxy backend

Test plan

• Relevant tests pass locally
• Manual verification on affected UI or API paths

[drips-wave]

@Caneryy Great news! 🎉 Based on an automated assessment of this PR, the linked Wave issue(s) no longer count against your application limits.

You can now already apply to more issues while waiting for a review of this PR. Keep up the great work! 🚀

Learn more about application limits

[David1984TK]

Buen trabajo de auditoría — el decision record en docs/decision-vite-pinata-secret.md es justo lo que le faltaba a #145 para cerrar del todo, y el test unitario nuevo en ipfs.test.js (confirma que subirAIPFS pega a /ipfs-upload y nunca a api.pinata.cloud) es sólido y ya pasa.

Lo único que bloquea el merge: el E2E nuevo (e2e/ipfs-upload.spec.ts) falla con Test timeout of 30000ms exceeded en un .click(), consistente en los 3 intentos — es el único test que falla de toda la suite (todo lo demás, incluido el resto de Playwright, pasa). No pude aislar rápido cuál click es (el log no lo específica), pero por el flujo probablemente es el botón "Crear" inicial en /proyectos" que nunca queda visible/clickeable, o el generateBtn" ("Generar huella digital") que depende del hash de los 3 documentos completándose antes del timeout.

Con ese E2E arreglado (o si preferís, quitado de este PR y mandado aparte cuando lo tengas estable), esto queda mergeable tal cual.