correção de cookies seguros

.env.example

@@ -13,3 +13,8 @@ DB_TRUST_SERVER_CERTIFICATE=true
 # Segredo para assinar o token de sessão (JWT).
 # Gere um novo com: openssl rand -hex 32
 AUTH_SECRET=troque-este-valor-por-um-segredo-aleatorio
+
+# Use "true" SOMENTE se o site for servido via HTTPS.
+# Em HTTP (ex.: rede interna), deixe false — senão o navegador
+# descarta o cookie de sessão e o login não persiste.
+COOKIE_SECURE=false

src/lib/auth.ts

@@ -46,7 +46,10 @@ export async function createSession(user: SessionUser): Promise<void> {
 
   cookies().set(SESSION_COOKIE, token, {
     httpOnly: true,
-    secure: process.env.NODE_ENV === "production",
+    // Cookies "Secure" são descartados pelo navegador em conexões HTTP.
+    // Como o deploy pode rodar em rede interna sem HTTPS, a flag só é
+    // ativada explicitamente via COOKIE_SECURE=true (recomendado com HTTPS).
+    secure: process.env.COOKIE_SECURE === "true",
     sameSite: "lax",
     maxAge: SESSION_DURATION_SECONDS,
     path: "/",