tests/test_main.py nao fazia parte do mapa de arquivos do plano de
permissoes/sessao e ficou quebrado (HTTP Basic Auth) apos a troca pra
login por sessao nas tasks anteriores. Atualiza os 6 testes pra usar
cookie de sessao (app.session.criar_token) em vez de header Basic, e
ajusta a expectativa de GET / sem login (agora redireciona 303 pra
/login em vez de pedir credenciais 401).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>