El API no debe devolver el password del usuario