Sesja panelu ma własne hasło (plik na serwerze). Token wewnętrznego API nigdy nie trafia do przeglądarki.