cookie id é destruído, mas o objeto HttpSession não?

Olá João Pedro, tudo bem? Isso mesmo, porque mesmo que o id no navegador não exista mais não removemos o objeto HttpSession da memória em nenhum momento, então ela ainda continua existindo até que a aplicação seja reiniciada.

Espero ter ajudado!

Se o sujeito limpar os cookies por exemplo e tentar logar de novo eu teria como encontrar a sessão antiga e reaproveitar os dados?

Do contrário eu vou ficar abrindo sessões indefinidamente e consumindo recursos...

Caso a sessão permaneça existindo mas inacessível sem a sua chave , como eu poderia ativamente destrui-la sem afetar as demais?... Qual seria a solução mais elegante para não derrubar todos os meus usuários restantes?

Eu vi que a resposta da minha questão acima está na parte 9 da aula 4.... No caso, o Tomcat se encarrega do timeout das sessões

ALi também fala do cookie persistente (e não transiente) usado pela alura

Temos um exemplo de implementação desse tipo de cookie?

Que bom que entendeu certinho! Bem sobre o exemplo de cookie persistente, ainda não temos um curso que aborde diretamente um exemplo seguindo essa ideia de manter os cookies salvos (persistentes) como alguma ferramenta interessante e rápida como o Redis, mas temos essa ferramenta:

• Curso de Redis I: Armazenando chaves e valores
• Curso de Redis II: Estruturas e recursos na sua base NoSQL

E caso esteja utilizando um framework de nível superior como é o caso do Spring, ele já explica como usar sessão com Redis.

Espero ter ajudado!

Entendi, obrigado Jonilson!!! =)