Authentik OIDC + Supabase Auth réels = Phase 3.3.2b. Pour l'instant, choix d'un user mocké → JWT HS256 signé localement (15min exp).
Compte