Может ли сервер изменять (добавлять, удалять) куки?

Да, может. Сервер управляет куками через HTTP-заголовки Set-Cookie в ответе клиенту.

Например:

Установка новой куки:

http

Изменение значения существующей куки:

Присылается новый заголовок Set-Cookie с тем же именем куки, но новым значением.

http

Удаление куки:

Удаление происходит путем установки куки с тем же именем, но с истекшим сроком действия (Expires в прошлом) или установкой максимального возраста в ноль (Max-Age=0).

http

Сервер не может напрямую "удалить" куку с клиентской машины, но он посылает инструкцию браузеру в виде заголовка Set-Cookie, который браузер обязан выполнить.