Autenticación y roles
/login
Cómo la sesión dirige a /workspace o a /admin.
Correo y contraseña, enlace mágico u OAuth (si está configurado) crean la sesión. Los operadores del SaaS van a /admin; el resto al espacio de cliente.
Mantén secretos de JWT y webhooks solo en el servidor y usa HTTPS en producción.