Toàn bộ app yêu cầu tài khoản email + mật khẩu.
Mật khẩu được mã hóa trên máy chủ (bcrypt).
Phiên đăng nhập lưu bằng cookie bảo mật (HttpOnly).