هر درخواست PHP از صفر شروع می‌کند و وقتی تمام شود همه‌چیز را فراموش می‌کند. برای اینکه بازدیدکننده وارد حسابش بماند، مرورگر یک کوکی (cookie) کوچک همراه خودش می‌برد، سرور داده‌ی واقعی را در یک نشست (session) نگه می‌دارد و گذرواژه‌ها فقط به شکل هش (hash) ذخیره می‌شوند، نه به شکل متن.