18だけどうちは、

USER AGENTとHOSTで三社判別、さらに三社であればHOSTも三社各々と一致するか判別(他は不正エラー出す)
ドコモはフォームにutn付けて送られてきたUSER AGENTのser○○;の○○部分で個人を判別、HOSTも一致するか判別(他は不正エラー出す)
auはサブスクライバIDで個人判別
Vodaはシリアルナンバーで個人判別
内部はすべてPOST(GETは不正エラー出す)

これで、パスとか設定しなくても個人ごとに正常に動く。セッションも不要。