JWT vs autenticação por cookie no ASP.NET Core 11: qual você deve escolher?
Use autenticação por cookie para qualquer app em que o navegador seja o único cliente e reserve os tokens bearer JWT para APIs chamadas por apps móveis, outros serviços ou terceiros. Aqui está a matriz de decisão completa.