Не совсем...

Просто надо дать возможность logout'а... А пользоваться этим, или нет - решать пользователю (или администратору, что сложнее).

Можно также "рефрешить" куку, установленную на 10-20-30 минут. Если за этот промежуток времени пользователь не обновил страницу (перешел на другу защищенную и т.д.) кука сама устареет... Типа скринсейвера с паролем - отошел чайку попить - вводи пароль заново.