JWT доступ + ротируемая refresh‑куки, пароли хешируются на стороне API (bcrypt).
Уже зарегистрированы? Войти