Usa solo i cookies e stai tranquillo. Se vuoi maggiore potenza, flessibilità, controllo ed un minimo aumento della sicurezza allora gestisci i dati di sessione con il DB. Se hai bisogno di sicurezza livello "paranoia" usa SSL + cookies + DB.