splatt

Если не делать проверку ip, всегда есть вероятность, что украдут куки. Единственный выход — стопроцентный SSL и быть на 100% уверенным, что на сайте нету XSS.
Я бы посоветовал, как уже писали выше, сделать проверку IP по желанию пользователя.