Вы получили это во втором предположении.
Файл cookie содержит JSESSIONID. Этот идентификатор используется для поиска HttpSession пользователя на карте, поддерживаемой сервером. По крайней мере, это самый распространенный способ. Существуют более сложные способы, с помощью которых сервер может реализовать это, но пересылка всего состояния обратно в файл cookie не является одним из них.
Это имеет некоторые последствия. Во-первых, если сервер выходит из строя, вы теряете состояние сеанса. Во-вторых, если у вас есть кластер серверов, вам нужно каждый раз подключать пользователей к одному и тому же серверу, иначе они потеряют сеанс между последующими запросами. Наконец, перехват сеансов становится возможным, если кто-то находит способ скопировать чужой JSESSIONID и заменить его им.