درسته ولی بهتره توی htaccess انجام بدین که برای کل سایت و بدون Include کردن انجام بشه :

<IfModule php5_module>

    php_value session.cookie_httponly true

</IfModule>