Une session maintient l'état de connexion d'un utilisateur entre les requêtes HTTP, qui sont sans mémoire. Le serveur stocke la session et envoie un identifiant dans un cookie. Ce cookie doit être HttpOnly, Secure et avoir un attribut SameSite, pour limiter le vol et les attaques CSRF.
Exemple
Set-Cookie: sid=abc123; HttpOnly; Secure; SameSite=Lax