обычно сервер хранит. после успешного входа по логин/пароль сервер помимо куки сессии устанавливает дополнительную догоживущую куки которая проверяется при очередном заходе на сайт если куки сессии уже нет.
По ней сервер определяет пользователя. Логин пароль нигде не хранится и не требуется.
Вот где ты в "Запомнить" увидел слово "пароль"? Это не про хранение пароля (т.е. понимание безопасности у тебя полный ноль), а про сессию, чаще всего вообще про запись в куках, при отсутствие галочки, делают их сессионными.
