GWT-RPC, sécurité et serveur "clusterisé"

Salut,

je voudrais permettre à mon serveur d'être totalement sans état, et donc facilement mis en load balancing.

Pour la sécurisation de mon application, je ne veux donc pas utiliser une page de login et une session HTTP, les requêtes successives GWT-RPC n'arrivant pas nécessairement sur le même serveur.

La classe GWT RequestBuilder prévoir un magnifique setUser et setPasswrod qui permettent en principe de passer mon login/mdp à chaque appel de service... seulement je ne vois absolument pas à quel moment je vais pouvoir m'interfacer avec cette classe.

Quelqu'un aurait une explication ?

Si j'ai bien compris, c'est les user et password qu'il passe dans l'url :

http://user:password@www.site.tld

Après, je ne sais pas comment c'est intercepté ... par le serveur web : apache ? (en frontal des serveurs d'applications)