Authenticatie

POST /login
  ↓
JWT aanmaken (HS256, 8 uur geldig)
  ↓
httpOnly cookie "klantel-session" plaatsen
  ↓
Elke request: cookie automatisch meegestuurd
  ↓
Server verifieert JWT + controleert sessie in DB

POST /login
Content-Type: application/x-www-form-urlencoded

loginNaam=gebruikersnaam&wachtwoord=...

POST /logout

const { tenantId, gebruikerId } = await requireSession();
// of voor beheerdersfuncties:
const { tenantId } = await requireAdmin();