flow nutzt OpenID Connect über https://id.thebackend.org/application/o/flow/ für die Browser-Sitzung. Tokens landen in einem httpOnly-Cookie und werden lokal nie geloggt.