A session é uma boa alternativa para autenticação, só se torna ruim apenas quando mal utilizada. Por minha experiência se tiver cuidado em alguns pontos, não terá problemas: - Tamanho dos dados armazenados na sessão - evitar listas grandes, arquivos e dados que fujam o escopo da sessão (ideal apenas usuário, senha e perfil). - Timeout das sessões - já tive problemas em aplicações em que o timeout da sessão foi configurado para algo como dias, no início não houve problema até que o número de usuários aumentou. Procure um valor equilibrado para suas necessidades. - Encriptar dados pessoais - é básico mas já vi sistemas antigos que colocavam a senha do usuário na sessão. Mantendo os dados do usuário reduzidos na sessão, diminui a chance de problemas de memória. Caso precise de outros dados do usuário armazene-os em banco e busque quando necessário no escopo da página. E com relação a escalabilidade você pode manipular as sessões por id com auxílio do banco.