Файл сессии не защищён ничем: у кого он есть, у того есть аккаунт. Ни пароль, ни двухфакторная защита при этом не спрашиваются.
Что это значит на практике
Папка с сессиями — это сейф с наличными, а не рабочие документы. Её нельзя держать в общей синхронизируемой папке, отправлять себе в мессенджер и оставлять на чужом компьютере «на время».
Подробнее про устройство сессий — в отдельной статье.
Минимальные правила
Один компьютер или сервер, на котором аккаунты живут. Шифрование диска целиком — этого достаточно и это делается один раз. Отдельная учётная запись в системе, если машиной пользуется кто-то ещё.
Доступы к прокси держите там же и с тем же отношением — почему, разобрано в статье про логи прокси.
Резервная копия
Важнее всего остального. Сессии теряются не от взлома, а от сбоя диска, случайного удаления и переустановки системы. Потерянная сессия — это потерянный аккаунт, даже если он жив и здоров.
Копия должна быть в другом месте и тоже зашифрована. Проверяйте, что из неё действительно восстанавливается аккаунт, а не только что файлы на месте.
Чего не делать
Не хранить пароли двухфакторной в том же файле, что и сессии. Не держать рабочие аккаунты на одной машине с личными. Не передавать сессии подрядчикам — передавайте доступ к рабочему месту, а не ключи.
Переезд
Перенос сессий на другой сервер — операция, после которой аккаунты нередко требуют кода. Разбор — почему слетает сессия после переезда.
Купить аккаунтыс отлёжкой и полной сессией