IPlanet

Respondiendo tu pregunta, es un poquito difícil manejar en internet lo que denominamos sesiones, te comento que fue lo que alguna vez hice en una intranet, registre la ip de la maquina que hacia la petición y posteriormente a ello la registre en la base de datos junto con su clave con esto aseguraba que no entraran 2 veces, lo difícil es en internet, por todos los supuesos que se manejan, que si se acaba la sesión, que si se fue a tomar un café, etc, lo que puedes hacer aquí es que cada vez que se loguen a la aplicación pongas una bandera en una base de datos que te indique que ya se logueo y por otra parte un cron (demonio) que este revisando si el usuario sigue logueado para que cambie su estado, para el periodo de tiempo que cambie su contrraseña es más fácil solo pones en la pantalla de login un programa que valla calculando los días entre que se dio de alta el usuario y el día actual sacas la diferencia y si ya se acerco al numero le mandas un mensaje y le presentas la pnatalla de cambio de password etc.
Espero no haberte mareado con tanto rollo, cualquier cosa estoy a tus ordenes.