o tal do cookie

tenho lido muita coisa sobre segurança/login... e bla bla bla

muito se fala em optar por session no lugar do cookie, afinal, o usuario pode desabilitar o cookie e o sistema vai dar pau

mas as sessions são criadas ao lado do servidor, mas usam cookie para identifica-las, então seguindo essa logica, as sessions não poderiam funcionar caso os cookies estivessem desabilitados

response.cookies("t") = ("opa")
response.cookies("t").expires = (DateAdd("d", 100, now))
response.Write request.Cookies("t")

fiz testes e mais testes, naveguei com cookie desabilitado, e mesmo assim ele me retornava o valor do cookie, APENAS, não guarda o cookie no computador, mas cria e lê sem problema

agora queria saber se ele cria e lê os cookies - mesmo desabilitados - pq esta em localhost (modo seguro) ou se ele apenas não armazena os cookies mesmo