Пароль хранится только в виде scrypt-хеша и нигде не печатается. Сессия живёт 8 часов, кука помечена HttpOnly и SameSite=Strict. Каждая попытка входа — удачная и нет — попадает в журнал безопасности.