I cookie vengono inviati nell'header http, che viene mandato appena c'è un contenuto nella pagina (anche se nel codice non mi sembra stampi niente).

Comunque il modo migliore sono le sessioni