Auth de protótipo: senha com hash scrypt, token de sessão aleatório e sessão com expiração. Senha mínima de 8 caracteres. Endurecimento completo (verificação de e-mail, MFA) vem na fase de produção.