Acceso operativo (usuario, contraseña y tenant UUID).
Producción: login por username (Supabase Auth) · sesión en cookie httpOnly · FRIOGEN_AUTH_REQUIRE_BEARER=true. El navegador no guarda el access token.
FRIOGEN_AUTH_REQUIRE_BEARER=true