les sessions ne servent pas uniquement à l'authentification
C'est exact, vu que les sessions peuvent servir par exemple pour les systèmes de "paniers" qui ne nécessitent pas obligatoirement que l'utilisateur soit identifié sur le site.
Normalement si Google ou autres moteurs de recherches n'ont pas accès à du contenu (les images et autres médias compris) comme par exemple suite à la nécessité d'une identification, il n'y a pas de risque que les contenus soient indexés par les moteurs de recherches.
Par contre, je n'ai pas trop approfondi le sujet pour connaitre exactement le procédé utilisé par les différents moteurs de recherches pour ce qui concerne les fichiers sans lien direct aux pages affichés, c'est à dire les images et autres médias contenus dans les dossiers, je ne peux donc pas te le certifier à 100%.
Mais si tu as regardé en faisant des recherches d'images sur Google, lorsque tu cliques sur une image, Google te renvoie sur la page du site où est affiché l'image et donc via une balise image ou un background du CSS.
Donc, logiquement, toute image s'affichant sur une page nécessitant une identification, ne pourra pas être trouvée par une simple recherche via un moteur de recherche, étant donné que pour qu'une page soit référencée par un moteur de recherche, il faut qu'elle soit consultable par un utilisateur standard (un visiteur en gros).