Po pomyślnym uwierzytelnieniu sesja — zwykle ciasteczko, token lub asercja — staje się dowodem tożsamości dla kolejnych żądań. Zarządzanie obejmuje generowanie i przechowywanie tokenów, limity czasu bezczynności i bezwzględne, wyzwalacze ponownego uwierzytelnienia, wiązanie z urządzeniem, wylogowanie i unieważnianie, gdy zmienia się ryzyko lub podejrzewa się kompromitację poświadczeń.
Najważniejsze punkty
Sesja jako poświadczenieSkradziony lub odtworzony token dziedziczy logowanie; chroń tokeny w tranzycie i przechowywaniu oraz spraw, by unieważnianie faktycznie działało.
Czas życia dopasowany do ryzykaKrótkie limity bezczynności, ponowne uwierzytelnianie dla wrażliwych działań i krótszy czas życia dla sesji uprzywilejowanych lub zewnętrznych.
Istotne ograniczenieSilne uwierzytelnienie nie zabezpiecza długowiecznej sesji. Kradzież tokenów, fiksacja sesji (session fixation) i cross-site scripting mogą obejść nawet logowanie odporne na phishing, jeśli obsługa sesji jest słaba.