Очень хочется выразиться по-русски... Причина оказалась в том, что в php была запрещена посылка cookie. Решение - добавить в settings.php строку

ini_set('session.use_cookies', 1);

Вопрос - почему всякая мелочь типа cache_limiter там прописана, а ключевые настройки - нет? Просто глупо полагаться на умолчания php которые могут быть ЛЮБЫМИ - 80% "рецептов" лечения разных доморощенных домашних страниц сводятся к правке глобального php.ini и "уронить" drupal такими вещами можно за 2 секунды... Риторический вопрос, конечно, но меня такое начало пугает...

Сессии пишутся (в таблице есть), а вот кука, похоже, не выдаётся (браузер её не получает). Настройки в settings.php:
ini_set('arg_separator.output', '&');
ini_set('magic_quotes_runtime', 0);
ini_set('magic_quotes_sybase', 0);
ini_set('session.cache_expire', 200000);
ini_set('session.cache_limiter', 'none');
ini_set('session.cookie_lifetime', 2000000);
ini_set('session.gc_maxlifetime', 200000);
ini_set('session.save_handler', 'user');
#ini_set('session.use_only_cookies', 1);