Login memakai kode sekali pakai yang dikirim ke email terdaftar, jadi tidak ada password yang bisa bocor. Sesi lewat cookie httpOnly, data tiap akun terisolasi, dan aksi penting tercatat dalam audit log.