Кстати, если это не http basic auth, а классическая html-форма входа, то по логам в этом случае должно быть видно сначала Get-запрос страницы логина, потом - post-запрос на неё.

Если в логах этого нет, значит пароль не вводился

Что за CPA-сеть? Если она сессию передает через GET-параметр, то не мудрено