Zitadel code flow (Wave 12) eller svc-PAT (operator-fallback).
— eller —
Token valideras mot n0-API:t innan cookien sätts — fel PAT ger ingen cookie. Cookien skickas endast till n0.siax.io i server-side-anrop; den avslöjas aldrig i DOM.