Eu entendi mas fui fazer isso na prática e não deu muito certo. Fui ver no proprio site da aula.
Quando eu loguei, a api me devolveu como resposta esse JSESSIONID ( O COMEÇO)
Fui clicar na aba de perfis/certificados por exemplo, e na requisição, o client não mandou esse mesmo JSESSIONID pro servidor! Que foi o qual ele tinha recebido ao se logar .
Ele mandou outro cabeçalho na proxima requisição :
