Une session maintient l'état d'un utilisateur connecté entre plusieurs requêtes. Le serveur génère un identifiant aléatoire difficile à deviner, le stocke et l'associe à l'utilisateur ; il est renouvelé après connexion, expire et est invalidé à la déconnexion.
Exemple
Set-Cookie: sid=9f8e…; HttpOnly; Secure