[Bug] Ao adicionar o url_for a página não está funcionando adequadamente.

Antes a página de novo só era acessada caso fizesse o login com a senha certa, contudo, após a alteração, pode-se acessar diretamente pela url. Além disso, ao entrar na página de login , ela dá um 404.

#JOGOTECA.py
from flask import Flask, render_template, request, redirect, session, flash, url_for

# Passar classe como parâmetro para html
class Jogo:
    def __init__(self, nome, categoria, console):
        self.nome = nome
        self.categoria = categoria
        self.console = console

# Criar uma variável para colocar a aplicação (referencia o proprio arquivo)
app = Flask(__name__)
# criptografar dados dos cookies
app.secret_key = 'alura'

jogo1 = Jogo('God of war', 'Rack and slash', 'ps2')
jogo2 = Jogo('Forza', 'Corrida', 'ps2')
jogo3 = Jogo('Mortal Combat', 'Fight', 'ps2')

lista = [jogo1, jogo2, jogo3]

# Para inserir informaçoes no site, precisamos de rotas. Toda rota precisa de uma função para definir
@app.route('/')
def index():
    #inserir elementos html para mostrar na rota
    #render templates renderiza html de templates
    # enviar uma variável dinâmica para o html com render template passando parâmetros
    return render_template('lista.html', titulo = 'titulo da rota baseado no parametro da função ola', jogos= lista)

# Cada página html terá uma rota
# Nova  rota para adicionar jogos
# Query string para novo
@app.route('/novo')
def novo():
    if 'usuario_logado' not in session or session['usuario_logado'] == None:
        flash('Faça login para adicionar novos jogos')
        return redirect(url_for('login', proxima = url_for('novo')))
    return render_template('novo.html', titulo = 'Novo Jogo')

# Método post para o formulário, enviar informações do novo jogo
# Não é possível entrar diretamente nessa rota = method post

@app.route('/criar', methods=['POST'])

#     função irá definir os parâmetros recebidos, criar nova instância do objeto e adicionar a lista
#     para receber os parametros, importar request, redirect
def criar():
    nome = request.form['nome']
    categoria = request.form['categoria']
    console = request.form['console']
    # criar instância do objeto para receber os dados da requisição
    jogo = Jogo(nome, categoria, console)
    lista.append(jogo)
    return redirect(url_for('index'))
#     retornar ao lista.html com todos os jogos após inserção. Lista recebe os parametros de titulo e a lista de jogos
# No lugar de renderizar, o certo é fazer do criar uma rota intermediária apenas e so redirecionar
#     return render_template('lista.html', titulo='Lista de jogos', jogos=lista)


@app.route('/login')
def login():
    proxima = request.args.get('proxima')
    return render_template('login.html', proxima=proxima)

@app.route('/autenticar', methods=['POST'])
def autenticar():
    if '123' == request.form['senha']:
        session['usuario_logado'] = request.form['usuario']
        flash(session['usuario_logado'] + ' logado com sucesso')
        proxima_pagina = request.form['proxima']
        return redirect(proxima_pagina)
    else:
        flash('Falha de autenticação')
        return redirect(url_for('login'))

# o que identifica que um usuário está logado é o session[usuariolo..
@app.route('/logout')
def logout():
    session['usuario_logado'] = None
    flash('Usuário desconectado')
    return redirect(url_for('index'))

# Inicia o servidor flask
# ativar debug, re-fresh automático
app.run(debug=True)

# definir porta específica :
# app.run(host='0.0.0.0', port=8080)

HTML página novo
{% extends "template.html" %}
{% block conteudo %}
<!--        Informar action e method para receber os dados do formulário-->
      <form action="{{ url_for('criar') }}" method="post">
        <fieldset>
        ...
...
HTML pagina LOGIN
        <h1>Faça seu login</h1>
        <form method="POST" action="{{ url_for('autenticar') }}">
            <input type="hidden" name="proxima" value="{{ proxima }}">
            <p><label>Nome de usuário:</label> <input class="form-control" type="text" name="usuario" required></p>
            <p><label>Senha:</label> <input class="form-control" type="password" name="senha" required></p>
            <p><button class="btn btn-primary" type="submit">Entrar</button></p>
        </form>
    </div>
</body>
</html>