La contraseña se verifica en el servidor contra Postgres; la sesión viaja en una cookie firmada.