Serve un account con ruolo admin. La sessione vive in cookie httpOnly; i token non toccano mai il browser.