In effetti non ne sono per niente sicuro, ma il session_start() dovrebbe stare sempre prima dell'output al browser, a meno che non usi l'output buffering