実 API（apps/api）で認証し、セッション Cookie を発行します。