mafina ..
No sé si has leido la documentación oficial de PHP sobre sesiones:
www.php.net/session
Ahí se habla de que es el SID ...y de como funcionan las sesiones.
El SID como ya te han intentado aclarar se puede propagar de dos formas: URL y cookies. Cuando se dice "cookies" es PHP el que genera esa cookie (por eso no ves ninguna función "settcookie()" por ahí en el código).
Que el SID se propague de una forma u otra lo define el nunca bien ponderado y dichoso php.ini .. ahí tienes todassss las directivas que definen -como- funcionan las sesiones en tu servidor.
Si yo te digo que en mi script original "Autentificator" que estás tomando como base el SID se ha de propagar el COOKIES!, es por qué ni YO ni a tí en tu aplicación se menciona para nada que tengas que propagar el SID en el URL (propagar=hacer llegar al script que redireccionas tal variable) ...
Por eso, lo primero que debes hacer es conocer la configuración de sesiones (php.ini) sus directivas y que hace cada una.
En ese código como no se vé como lo haces tu .. dependes exclusivamente de la configuración de PHP.
Cuando PHP propaga el SID en el URL de forma automática (session.use_trans_sid = 1) .. es PHP quien reescribe ciertos tag's HTML para añadir el SID (constante que es) .. Pero, no lo hace en algunos casos como por ejemplo: header ("Location: ....") ni en javascript (al abrir una ventana .. etc) .. Por eso .. lo más sencillo y seguro es forzar/dejar a que PHP propague el SID en cookies (session.use_cookies = 1 )
Te recomiendo encarecidamente leer la documentación oficial de PHP sobre sesiones. Cualquier cosa que no entiendas .. preguntala, pero no exigas que te expliquemos un comportamiento de una aplicación en un determinado servidor sin conocer la configuración que usas sobre sesiones ni ver TODO tu código. Digo todo .. por qué si por ejemplo en algún momento en algún script te dejas "session_start()" (o el famoso "require()" de aut_verifica.inc.php que lo incluye) .. la sesión no se continua (el SID se pierde por qué no iniciastes el uso de sesiones) así que todo acceso a variables de sesión que pudieras hacer ahí NO te funcionará).
Un saludo,