Sessione sicura, cookie HttpOnly e protezione CSRF.