Las credenciales viajan sólo hasta el servidor. Los tokens llevan cookie http-only.
¿Todavía sin cuenta? Crear cuenta