Sessão de teste (dev)

Isto não é o login real — cria uma sessão com tokens falsos só para provar o mecanismo do BFF (cookie httpOnly opaco + sessão guardada no servidor). O login por Cognito é tarefa futura.