Sessions uniquement avec cookies. Sessions par url désactivée

Désactiver les sessions en url vous permettra de refouler les hackers ayant un referer fake et de pouvoir s'identifier ainsi que ses amis sur la même session via l'url contenant l'id de la session.
Dans php.ini il vous faudra désactiver session.use_trans_sid et faites ça :

session.use_trans_sid = 0

Cela permetra aussi que le hacker ne puisse pas utiliser votre session d'aministrateur à votre ainsu ayant loggé votre url par un logiciel externe au serveur.
Et maintenant vous allez autoriser uniquement les cookies :

session.use_only_cookies = 1