Elle pourrait être dans l'URL, mais non, elle est en cookie.
Le fait est que je me suis déjà retrouvé avec un proxy (AOL) qui change d'ip à chaque requête mais il garde la session correctement pour l'utilisateur, ici si ils ont mit un proxy transparent qui foire et garde les cookies en persistant pour tout le monde, y a pas à dire, il est fortiche l'admin système