Oui, c'est normal, le cookie utilisé pour les session est un cookie un peu spécial.
En fait, tout les navigateurs étant capable de supporter les cookies (c'est ou dire tous depuis au moins IE3, peut-être même IE2) acceptent les cookies de session même si les cookies sont désactivés. En effet, ce n'est pas réellement un cookie, ni même un identifiant...
En effet, c'est une simple variable que le client se doit de re-poster à chaque chargement de page durant la même connection. Il a donc été décidé de le gérer comme un cookie. Mais étant supprimé dès la fermeture du navigateur, et ne stockant pas en lui-même des infos, il n'est jamais désactivé, puisque les sessions sont vitales à un grand nombre de sites.
En fait, ce support des sessions sans cookies ne sert que si une appli genre Excel va télécharger des pages depuis une macro. A ce moment, (et encore, dans Excel c'est pas vrai) généralement le support du protocole HTML se résume à être capable de faire un GET sur une URL donnée. Cela ne concerne qu'un nombre très réduit d'applis. Un aspirateur de sites web par exemple aura besoin de ce système pour conserver une session d'une page à l'autre, puisque la majorité d'entre eux ne supportent pas les sessions.
