브라우저 쪽에서 저장하는 인증서를 누군가 해킹해서 사용할 수 없나요?

서버에서 set-cookie를 하지 않고, response body로 인증 정보를 보낼 때

강의에서 인증서를 Set-Cookie 헤더에 보내지 않는다는데 이게 가능한가요?

세션이 만료됐을 때 갱신하는 방법

3번에 3번도 틀린 것 같습니다.