Allora mi baserei sulla presenza o meno del cookie: una volta che scade, il browser non lo invia e puoi assumere che sia scaduto (o che l'utente l'abbia cancellato)