Una mañana Sebastián abrió Agencia en el navegador, la encontró sin sesión y me pidió el token. Miré el código y encontré la causa: la cookie de sesión se emitía sólo al hacer login y duraba 30 días contados desde ahí, así que vencía al mes aunque la usara todos los días.
Ahora el servidor la reemite una vez por día cuando la credencial llega por cookie. Para saber cuándo fue la última emisión sumamos una segunda cookie con esa fecha, porque el navegador guarda el vencimiento para sí y el servidor sólo ve el valor. Un Pase se renueva hasta su propio vencimiento; una Llave, con el mes entero, y eso de paso mantiene pareada la TV del living.
Después pasamos el cambio por dos revisiones, una de Codex y otra de Fable. De ahí salieron dos ajustes: una fecha ilegible o en el futuro cuenta como vencida y dispara la renovación, y una request con Bearer recibe sólo la respuesta, sin cookies. La regla y sus consecuencias quedaron en el ADR-0039: una sesión que se sigue usando sigue viva, así que los aparatos ajenos conviene parearlos con una Llave.