Cookies geralmente são usados para salvar preferências (folha de estilo, dados sobre o uso, quantidade de acessos, frequência, etc).

No começo do Orkut apenas com o cookie do usuário você poderia acessar a conta sem nem mesmo ter a senha isso é uma falha de segurança, o cookie NUNCA deve ser usado como único meio de identificar o usuário.

Sobre gravar TUDO no banco de dados creio que seja desnecessário, uma forma legal de armazenar dados temporários ou permanentes (até que o usuário limpe o armazenamento local) introduzida no HTML5 é a localStorage um cookie com esteroides.

Se você não vê uso para ele talvez seja bom. É comum programador achar solução e depois ficar procurando um problema para aplicá-la. Isto não costuma dar certo.

• Um dos maiores usos é justamente o citado, identificar o usuário. Várias técnicas podem ser usadas para fazer isto, eu diria até que é o único que vale a pena ser usado.

  Esta identificação pode ser um código único onde você vai associar a registros do que ele faz no seu banco de dados no servidor. É algo bem simples, é só um marcador.

  Esta técnica é usada para gerar estatísticas de acesso e rastrear o que o usuário está fazendo. Isto pode ser considerado uma invasão de privacidade, ainda que poucas pessoas se preocupam com isto (isso é grave agora com legislação sobre o assunto). Vários sites avisam que estão fazendo isto e se estão usando ferramentas de terceiros que usam está técnica. Isto pode evitar processos em países mais litigiosos.

• O cookie pode ser usado para controle de sessão. E é uma especialização da identificação do usuário que, em tese, expirará logo. O cookie é ótimo para criar uma impressão de estado durante a navegação.

  Normalmente a web é usada para acessar páginas de forma isolada. Para organizar cada acesso do mesmo navegador como se fosse uma continuação de algo já feito, você cria sessão mantendo o estado no servidor. Para saber se a nova comunicação entre o navegador e o servidor vem da mesma fonte e deve ser considerada como sendo da mesma sessão tem que identificar o usuário. O cookie foi feito para isto. Algumas pessoas consideram esta a única possibilidade de uso de cookie atualmente, por uma boa razão.

  Isto pode ser usado para dar mais segurança provendo tokens de acesso para garantir que a sessão não seja usada de forma indevida.

• Outra forma que usam é guardar algumas configurações de como o usuário prefere acessar o site. É claro que não pode ser nada muito sofisticado e importante. Considere ele como algo temporário. Com o advento de outras técnicas isto foi sendo deixado de lado, até pela ineficiência intrínseca. Considere uma técnica legada.

  É possível armazenar isto no banco de dados do navegador, o tal do Local Storage. Ele é preferível para dados maiores para evitar o transporte de dados desnecessários entre a comunicação entre navegador e servidor HTTP.

• Outros usos como cache até são usados, mas não é recomendado.

Banco de dados local

O banco de dados local tem lá suas vantagens, mas não resolve tudo e não pode ser usado sempre. Assim como os cookies, ele só pode ser usado se o usuário aceitar e ele pode manipular ou apagar a hora que ele bem entender. Não tem como escapar disto. É claro que o banco de dados do navegador cabe mais dados, permite mais controle, mas fora isso e que os dados não são usados na comunicação direta, enxergue ele como um super-cookie, não mais que isto.

Dados permanentes

Quer armazenar informações do usuário de forma permanente? Faça no servidor.

Quer sempre identificar quem é o usuário daquele navegador para pegar as informações dele no servidor? Não tem garantias.

O cookie serve para isto, se ele estiver lá do jeito que você colocou. Tem que ter outras formas de identificar o usuário (login espontâneo, por exemplo).

Você quer que uma pessoa que não te conhece dê acesso ao computador dela e você ter total controle sobre isto? Não é viável.

Expiração

A expiração é controlada por você, até que o usuário queira interferir nisto. Há técnicas próprias para determinar quando ele expira. É comum usar algo que expira logo para manter a sessão ativa e obviamente tem como ir prorrogando a expiração. Há quem deseje manter a sessão ativa por um longo período.

Esta é uma forma de evitar que a pessoa seja obrigada fazer um novo login. Isto é prático mas não muito seguro. Até pode fazer isto mas sabendo do risco e tomando alguns cuidados para evitar captura facilmente. Qualquer coisa que exija um pouco mais de segurança além do trivial não deve usar esta técnica.

Conclusão

Pensa certo quando acha que não é um mecanismo confiável e robusto.

Ele não deve ser abusado, e não pode ser a única forma de conseguir o que quer. Mas não tem como fugir dele em algumas situações.

Planeje o uso para algo simples e efêmero.