Клиентская проверка по алгоритму MAX WebAppData (HMAC-SHA256)
POST /auth/max — серверная валидация initData и создание сессии
Если аккаунт не привязан — запускаем OAuth2 Authorization Code + PKCE
POST /sso/complete — валидация initData + ticket, получение app-сессии