Cookie сесії має `HttpOnly`, підписується, має обмежений час життя і за замовчуванням використовує сувору SameSite-політику.