Gracias por las respuestas Cándido!

>>
>> -Si tras validar borro los cookies y recargo la URL protegida, no me 
>> deja entrar, lógicamente, pero
>> no me redirije a la página de validación del AS.
> Solo una pregunta, ¿estás recargando la URL con los parámetros 
> ACTION=CHECKED&DATA=... ? Lo digo porque si es así es posible que por 
> eso te esté dando error, ya que lo entiende como una respuesta del 
> AS/GPoA al PoA y no como un primer intento de acceso al recurso.

No, es una url sin parametros.

>>
>> -Se supone que si hago un logoff desde el AS me debería expirar los 
>> cookies que se han lanzado desde él.
>> Pero esto no pasa. ¿Por qué?
> Si no recuerdo mal, creo que el AS te genera valores erróneos dentro 
> de la cookie, así que deja de ser inválida. ¿O realmente sigues 
> teniendo una sesión válida allí?

Si hago un logoff en el AS sigo pudiendo entrar a un recurso protegido 
al que he entrado antes.

Agustin