Xác thực qua Jmix Authorization Server. Token được giữ phía server, trình duyệt chỉ nhận session cookie.