Güvenlik: Session + CSRF + rate limit. 2FA sonraki adım.