Пароль хранится как bcrypt. Сессия 30 дней.