Нет, удаленно не безопасно. Вы не можете гарантировать, что файлы cookie не хранятся в виде простого текста (и на самом деле большинство реализаций do хранят их в виде простого текста).
Имейте в виду, что «помните меня» изначально небезопасно, поскольку любой, кто перехватывает cookie, получает доступ к приложению. Но раскрытие пароля пользователя делает шаг вперед по небезопасной лестнице. :-) И, вероятно, делает пользователя действительно сумасшедшим, если он узнает.
Я использую зашифрованную строку cookie, которая включает имя учетной записи пользователя в сочетании с токеном, который никак не связан с учетной записью пользователя, кроме таблицы на моем сервере. Когда пользователь возвращается на сайт, мы расшифровываем файл cookie и проверяем, действительно ли этот токен связан с этой учетной записью. Токен (и, следовательно, cookie) изменяет каждый автоматический вход в систему и делает недействительным тот, который использовался для этого автоматического входа. (Между токенами и учетной записью существует отношение многие-к-одному, что позволяет автоматически входить в систему из нескольких мест. Вы можете ограничить это, если хотите.) Время ожидания токенов, если они не используются в течение X дней. (Это делается не только путем ограничения продолжительности cookie-файла, но и на стороне сервера.) Я добавляю сюда еще несколько вещей, которые затрудняют жизнь для бит для тех, кто пытается декодировать cookie (успешно расшифровав его) или использовать украденный cookie (который не требует расшифровки), но нет никакого смысла в избыточном убийстве (опять же, «помни меня» по своей сути небезопасно).
Я использую это на сайте, где надежная защита не является действительно необходимой (очевидно) и на которой имеется большое количество клиентов с динамическим IP, и поэтому я не пытаюсь привязать ее к IP. Но даже привязка его к IP не делает его безопасным, он лишь немного уменьшает поверхность атаки.
Вам может быть интересно, почему у меня есть имя пользователя в куки. Для простых целей «помни меня» я бы не рекомендовал иметь его там, даже если он зашифрован (в конце концов, это половина пары аутентификации в системе имя пользователя + пароль). Я был немного удивлен, обнаружив его в наших файлах cookie, когда посмотрел на формат, напомнив себе, как мы сделали это для этого вопроса; но потом я увидел комментарии, объясняющие, почему это там, и есть причины, не связанные с «помни меня» (не обязательно убедительные причины, задним числом, но причины).
В заключение отметим, что тот факт, что «помни меня» по своей сути небезопасен, является одной из многих причин, по которым журналы сайта очень важны, и почему вам необходимо требовать повторной проверки пароля в процессе внесения изменений в важную информацию учетной записи (чтобы сделать для кого-то сложнее украсть куки, чтобы завладеть учетной записью).