логин и пароль, иначе при "краже" аккаунта пользователя даже при смене пароля доступ останется у злоумышленника (так как session жива будет)