Odată ce autentificarea reușește, sesiunea — de obicei un cookie, token sau aserțiune — devine dovada identității pentru cererile ulterioare. Gestionarea acoperă generarea și stocarea tokenurilor, timeout-urile de inactivitate și absolute, declanșatorii de reautentificare, legarea de dispozitiv, deconectarea și revocarea când riscul se schimbă sau credențialele sunt suspectate de compromitere.
Puncte esențiale
Sesiunea ca credențialăUn token furat sau rejucat moștenește autentificarea; protejați tokenurile în tranzit și stocare și faceți revocarea să funcționeze efectiv.
Durate de viață aliniate risculuiTimeout-uri scurte de inactivitate, reautentificare pentru acțiuni sensibile și durate mai scurte pentru sesiuni privilegiate sau externe.
Limitare importantăAutentificarea puternică nu securizează o sesiune de lungă durată. Furtul de tokenuri, fixation și cross-site scripting pot ocoli chiar și autentificarea rezistentă la phishing dacă tratarea sesiunii este slabă.