Käyttäjäistunto

Käyttäjäistunto on tietojärjestelmän ja käyttäjän välinen aikajakso, jonka aikana järjestelmä säilyttää käyttäjään liittyvää tunnistautumistietoa ja käyttöoikeuksia. Istunto alkaa käyttäjän todentamisen jälkeen ja päättyy, kun käyttäjä kirjautuu ulos, istunto vanhentuu inaktiivisuuden vuoksi tai järjestelmä katkaisee yhteyden.

Teknisesti istunto toteutuu yleensä istuntotunnisteen eli session ID:n avulla, jota siirretään asiakkaan ja palvelimen välillä. Tämä tunniste voidaan tallentaa evästeenä (cookie) tai muulla tavalla ja palvelin säilyttää siihen liittyvät tiedot, kuten käyttäjän profiilin, oikeudet ja tilan. Joissakin järjestelmissä käytetään client-side-tokeneita, kuten JSON Web Tokens (JWT), jolloin osa tilasta säilyy käyttäjän päätelaitteella.

Istunnon elinkaari: luominen autentikoinnin yhteydessä, aktiivisuuden seuranta ja vanhentuminen. Useimmat järjestelmät määrittävät sekä inaktiivisuusajan että absoluuttisen aikarajan. Istunto voidaan uusia tai katkaista uloskirjautumisen tai ehtojen täyttymisen perusteella. Istunnon tunnus uusitaan usein kirjautumisen yhteydessä istunnon turvallisuuden parantamiseksi.

Turvallisuus: suositellaan TLS-salausta, Secure- ja HttpOnly-evästeitä sekä SameSite-suojauksia. Istunto voidaan katkaista kirjautumisen yhteydessä ja tilaan liittyvät tiedot suojataan. Varastamisen ja väärinkäytön estämiseksi toteutetaan CSRF- ja XSS-suojauksia sekä säännöllisiä tarkistuksia.

Käyttäjäistunto on keskeinen osa käyttäjän tilan ja oikeuksien hallintaa monissa verkkopalveluissa sekä sovellusarkkitehtuureissa, joissa tilan säilyttäminen pyynnöstä toiseen mahdollistaa sujuvan käyttökokemuksen.