$_SESSION è affidabile a patto di adottare alcuni accorgimenti:

Aggiornare il SID, per evitare possibili furti di identità (session hijacking) tramite la funzione session_regenerate_id();

Salvare i dati di sessione su database;

Inoltre negli hosting condivisi, è bene cambiare il path ove viene salvato il file di sessione sul server... questo per evitare che altri script (di altre applicazioni e utenze) possano leggere il file di sessione.