Por que as pessoas ainda insistem em fazer autenticação na mão? Pessoal, keycloak, logto, etc... Parem de reinventar a roda, a comunidade ja tem soluções prontas que são avaliadas por devs de segurança. Eu pessoalmente uso o Logto para tudo... Integra muito bem ao nextjs e com server components eu nem preciso deixar minha API exposta ao publico. Posso fazer um tutorial depois.