Käyttäjäistuntoa

Käyttäjäistunto tarkoittaa tilaa, jossa käyttäjä on autentikoitunut ja voi vuorovaikuttaa järjestelmän kanssa. Istunto syntyy tavallisesti, kun käyttäjä kirjautuu sisään, ja se päättyy, kun käyttäjä kirjautuu ulos, istunto vanhenee taustalla tai järjestelmä katkaisee yhteyden. Käyttäjäistunnon avulla säilytetään käyttäjän tila ja oikeudet useiden pyyntöjen välillä, jolloin jokainen pyyntö ei vaadi uutta kirjautumista.

Tekninen toteutus vaihtelee, mutta yleinen ratkaisu perustuu istunto- tai tokenitunnukseen. Verkkopalveluissa käyttäjäistunto voidaan todentaa palvelinpuolella säilyttämällä tilatieto yhdessä istunnon id:n kanssa, tai staattisempaa lähestymistapaa käyttäen, jossa käytetään JSON Web Token -tokeneita (JWT) ilman jatkuvaa istuntotietojen tallentamista palvelimelle. Istuntoa voidaan ylläpitää asiakkaan verkkoselaimessa evästeen tai sovelluksen muistissa, ja tunnukset voidaan vahvistaa jokaisessa pyynnössä.

Turvallisuus on keskeinen osa käyttäjäistunnon hallintaa. Tyypillisiä toimenpiteitä ovat istunnon aikakatkaisuin (timeout) ja aktiivisen käytön seuranta, uloskirjautuminen, sekä istunnon invalidointi kirjautumisen tai epäasianmukaisen toiminnan yhteydessä. Eristävyys varmistetaan esimerkiksi Secure- ja HttpOnly -evästeillä sekä SameSite-sovelluksilla, ja suojaus- toimet voivat sisältää CSRF-suojauksen sekä istunnon ratkaisevan rikkoutumisen estämisen, kuten istunnon uudelleenantamisen ja rekonsolidoinnin.

Käyttäjäistuntoja käytetään laajasti sekä web- että mobiili- ja työpöytäsovelluksissa. Niihin liittyy sekä käytön sujuvuus että tietoturva, ja niiden hallinta muodostaa olennaisen osan organisaation käyttörajoitteiden ja tietoturvapolitiikkojen toteutusta.