surtout qu'on peut théoriquement se faire piquer son cookie en cliquant sur un lien legitime (voire XSS)