Utilizo sesiones php (no cookies, excepto la cookie de identificación de sesión) para todos los datos de usuario, y cuando un usuario accede a su perfil user.mydomain.com, se "desconectan" inmediatamente hasta que eliminan el subdominio.

Hay una manera de aceptar sesiones de todos los dominios siempre que sea * .midominio.com