El token se guarda en sesión (no se incluye en el HTML).