Le cookie de session peut dater d'avant le flag is_admin → vérification DB directe si la session ne contient pas is_admin