Проверяем источники

Credentials остаются на backend

Токены шифруются AES-256-GCM, не возвращаются браузеру и не пишутся в журналы.