Может ли сервер изменять (добавлять, удалять) куки?

Да, может. Сервер управляет куками через HTTP-заголовки Set-Cookie в ответе клиенту.

Например:

Установка новой куки:

http

Изменение значения существующей куки:

Присылается новый заголовок Set-Cookie с тем же именем куки, но новым значением.

http