OIDC gestionado con MFA para roles clínicos, administrativos y financieros. Gate bloqueante antes de operar con datos reales de pacientes (PRD §11.1). Hoy solo hay auth interna de desarrollo.