Les sessions ne fonctionneront que si vous avez ces 3 sessions dans cet ordre :
app.use(express.cookieParser());
app.use(express.session());
app.use(app.router);
Je ne sais pas si le routeur est obligatoire pour utiliser les sessions, mais il les casse s'il est placé avant elles.