Ma non controlli in nessun punto se quei due cookie (username e password) sono presenti nel DB.

Poi cmq ti conviene mettere il controllo in ogni pagina ad accesso riservato...o cmq un controllo che ti assicuri che le corrispondenze dei cookie username e password siano verificate dentro il DB.