Вход по ключу доступа: ключ хранится у вас, на сервере — только его хеш (argon2). Сессия защищена httpOnly-cookie.