Le route admin verificano la sessione Supabase e la whitelist `ADMIN_EMAILS`.