Pour les sessions, ça garde un numéro pour chaque client sur ton site. Les timeout sont différents suivants les serveur (fermeture de navigateur, ou autre temps fixe).
Après, pour verification, tu fais un session_start sur chaque page et tu recupere par exemple quelque chose que tu as mis dans la session (login, ip, portnawak) avec un session_register...
Sinon, certain hébergeur mettent automatiquement le numéro de session dans l'url (php.ini)