Hebert foi resolvido !
Deixa eu compartilhar aqui.
Utilizando só request.getSession()/request.getSession(true) pega a sessão e utiliza em Cookie ( por isso acontecia de ficar sendo visto para todos)
Utilizando o request.getSession(false); este é o que cria uma Sessão…
Só que colocando a URL no browser e acessando a Servlet
o request.getSEssion(false) é nulo. ele precisa ser vindo de uma página .jsp
entaõ o que eu fiz ?
public void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
HttpSession session = request.getSession(false);
if(session == null && !request.isRequestedSessionIdValid()){
request.getRequestDispatcher("/reload.jsp").forward(request, response);
return;
}
.....
}
e no reload.jsp coloquei um simples javascript para forçar a navegação
<script>
var url = window.location; // pega a url do browser no caso a mesma que tentei acessar diretamente pelo endereço do navegador
window.location.href = url; // refaz o request
</script>
Agora sim na linha da Servlet acima criará a sessão para cada usuário

Agradeço a disposição de ajudar
[/code]