La session est protégée par un cookie HttpOnly. Le token d’accès n’est pas exposé au navigateur.