Token sparas bara i sessionStorage och skickas som Authorization — samma fail-closed-kedja som datarutterna.