Richtig. Sessions mit Cookie sind grundsätzlich nicht sicher. Weil HTTP zustandslos ist und einen Zustand eingeloggt gar nicht kennt.

Ganz schön was los hier heute ;)