Сессии защищены, а пароли хранятся только как Argon2id-хэши.