El token es un JWT HS256 firmado (Web Crypto nativa, sin librerias) en cookie httpOnly + sameSite=lax. El scope por capacidad (ver-cockpit ≠ disparar-spawn ≠ admin) viaja en el token y se verifica en cada accion. Blue y green DEBEN compartir el mismo MOTOR_AUTH_SECRET o el switch de Traefik desloguearia a todos (canon migracion s118).