Идентификаторы сессии передаются в защищенном файле cookie (с использованием настроек, описанных в главе 3) и никогда – в параметрах URL.