fix(auth): no guardar la autenticacion en la sesion HTTP (RF04)
La cookie JSESSIONID mantenia autenticado al navegador aunque el token se hubiera invalidado con el logout. La sesion queda solo para el flujo OAuth de Google y cada pedido se valida con el JWT.