PASS: RateLimitMiddleware para /api/auth/login bloqueia após 10 requisições por IP.