bcrypt · hmac-sha256 session · per-ip + global rate limit