Данные пользователя сохраняются на сервере в SQLite и восстанавливаются после закрытия сайта. Пароли хранятся в виде PBKDF2-хэшей, сессии — в HttpOnly cookie.