[HttpPost("/{returnTo?}")] , для первого метода, и [HttpGet("/")], для второго метода. Хотя маршрут "/" здесь выглядит некорректным.
expires: DateTime.UtcNow.AddMinutes(_options.AccessTokenExpiresMinutes) напишите например DateTime.UtcNow.AddDays(7)SigningCredentials попробуйте напримую указать для SecurityKey значение секретного ключа, SecurityAlgoritmsnew JwtSecurityTokenHandler().CreateToken(token);