Sitzungstoken

Ein Sitzungstoken ist ein kryptografisch generiertes Token, das verwendet wird, um eine Benutzersitzung in Webanwendungen zu identifizieren und den Zugriff auf geschützte Ressourcen zu autorisieren. Es wird nach erfolgreicher Authentifizierung ausgestellt und ermöglicht es dem Server, den Zustand der Sitzung über mehrere Anfragen hinweg aufrechtzuerhalten, ohne dass der Benutzer sich erneut anmelden muss.

In der Praxis wird ein Sitzungstoken häufig als Cookie an den Client gesendet. Der Client sendet es bei jeder Anfrage zurück an den Server; der Server prüft die Gültigkeit des Tokens und stellt die richtige Sitzung sicher. Tokens können auch in Authorization-Headern übermittelt werden. Die Implementierung kann opaque Tokens sein, die auf eine serverseitige Sitzung verweisen, oder JSON Web Tokens (JWT), die Informationen im Token selbst tragen.

Sicherheit und Speicherung: Für Cookies wird empfohlen, HttpOnly- und Secure-Flags zu setzen sowie SameSite-Attribute zu verwenden, um Angriffe wie XSS und CSRF zu reduzieren. Tokens sollten nur über TLS übertragen werden. Aus Sicherheitsgründen sollte der Zugriff auf ein Sitzungstoken minimiert werden, und Tokens sollten möglichst eine kurze Lebensdauer haben und regelmäßig rotiert werden. Bei Ausloggungen oder Verdacht auf Kompromittierung muss der Token ungültig gemacht werden (Revocation).

Lebenszyklus und Verwaltung: Der Token wird beim Login erstellt; er kann bei Bedarf rotiert werden, z. B. durch Austausch eines Refresh-Tokens gegen neue Sitzungstokens. Serverseitig kann eine Sitzung in einer Datenbank oder einem Cache gespeichert werden, um Token-Gültigkeit und Sperrlisten zu verwalten. Eine gute Implementierung trennt Authentifizierung von Autorisierung und ermöglicht Aktivitäts- und Sicherheitsüberwachung.