A ce que j'ai compris, quand on crée une session sur une page, les valeurs de la session comme l'identifiant et le mot de passe sont stockés dans des cookies (donc sur le poste du client) et transmis de page en page ...

d'où ma question :

Si l'utilisateur modifie les valeurs inscrites dans ses cookies, peut-il usurpé l'identité d'un autre utilisateur ?

(idem lorsque c'est transmis par url, il peut modifier l'url)

Non les sessions sont gérés côté clients, mais en invisible, c'est pas comme un cookie que l'utilisateur peut voir et modifier

"en invisible" c'est à dire ?

parce-que à partir du moment où c'est le client qui envoie l'information, il peut très bien la modifier d'une façon ou d'une autre ...

Tu as l'identifiant de la session dans les cookies, pas les différentes valeurs enregistrées. C'est pour ça que c'est des PHPSESSID (PHP SESSION ID).

Ok je comprend mieux ... mais alors où sont stockées physiquement les valeurs comme $_SESSION['mot_de_passe']par exemple ?, au même endroit que les variables $_POST ?

merci beaucoup !

Les variables sont conservées coté serveur.

Cependant il se peut qu'un utilisateur usurpe l'identité d'un autre rien qu'en ayant l'ID de la session. Si le cookie est volé ou passe par un proxy par exemple. La méthode de sesssion n'est pas une méthode fiable pour des données importantes (de type bancaires, mais fait très bien l'affaire pour la plupart des applications web: forums, espaces membres).

Réserve de mon précédent post: volé un ID est plutôt difficile pour un internaute lambda.

D'où l'intérêt de supprimer ses cookies coté client ou de proposer une déconnexion (avec suppression de session) coté serveur.

ok merci !