Sesjonstider

Sesjonstider er den totale tiden en bruker har en aktiv økt i et datasystem, fra autentisering til avslutning eller tidsavbrudd. I praksis varierer dette mellom applikasjoner og miljøer. I nettapplikasjoner gjelder ofte to typer tidsbegrensninger: inaktivitetstiden (idle timeout), som utløper ved manglende brukeraktivitet, og en absolutt tidsgrense (absolutt timeout), som utløper etter en fast tidsramme uavhengig av aktivitet. Sesjonsdata lagres vanligvis server-side og identifiseres gjennom en sesjonsnøkkel i en cookie eller et token.

Typiske verdier varierer, men gir et handelsrom mellom brukervennlighet og sikkerhet. Inaktivitetstiden ligger ofte mellom 5 og 30 minutter, mens en absolutt tidsgrense typisk ligger mellom 1 og 24 timer. I høy-sikkerhetsmiljøer kan begge verdier være kortere, eller løsninger bruke ekstra krav som hyppigere autentisering for sensitive handlinger.

Sikkerhet og personvern påvirkes av sesjonstider. For å redusere risikoen for sesjonshijacking bør cookies være sikre og HttpOnly, SameSite-stille, og sesjons-IDer roteres ved pålogging eller viktige hendelser. Det bør også vurderes utlogging ved inaktivitet og periodisk be om reautentisering for sensitive handlinger. Langvarige sesjoner kan kreve sterkere autentisering eller begrenset tilgang.

Måling og overvåking av sesjonstider innebærer analyse av gjennomsnittlig sesjonslengde, fordeling av inaktivitet og svikt i innloggingsflyt. Dette hjelper med å justere timeout-verdier og forbedre både brukeropplevelse og sikkerhet. Implementering og dokumentasjon bør være konsistent og tydelig for brukere og utviklere.