quindi sessioni su db e id sessione sul cookie... ma a sto punto che me ne faccio della sessione sul db se tanto poi la metto nel cookie ?!

il mio db è su una macchina mia, condivisa con solo altri miei siti... quindi le regole di accesso le faccio io e nessun altro...

a questo punto io farei:

loggare l'utente e scrivere una sessione su db.
ad ogni pagina protetta fare il confronto fra l'id sessione (sul cookie) e quello scritto nel db, modificando la validità della sessione di nuovo per 30 minuti (ad esempio...)

che ne dite ?