Где хранятся атрибуты Java HttpSession?

Сериализуются ли объекты и отправляются ли они пользователю и обратно при каждом соединении (сохраняются в файлах cookie)?

Или они хранятся в куче сервера, а файл cookie является лишь очень маленьким идентификатором?

Любая информация по этой теме будет полезна.

Спасибо