Solitamente viene lasciato nel cookie l'hash (spesso MD5) della password, da cui però non puoi risalire alla password vera e propria.