sesjonsIDer

SesjonsIDer, eller sesjonsidentifikatorer, er unike verdier som brukes til å identifisere og spore en brukers økt mellom klient og server. De muliggjør oppbevaring av autentisert tilstand og brukerpreferanser uten at brukeren må logge inn ved hver forespørsel. Vanligvis er en sesjon knyttet til data lagret på serveren; klienten får en referanse i en cookie eller i forespørselens innhold, og hver ny forespørsel kobles til riktig økt ved å bruke denne identifikatoren.

Generering av sesjonsIDer skjer vanligvis med kryptografisk sikre tilfeldige tall med høy entropi. Lengder på 128–256 biter er vanlig, og det anbefales å bruke en kryptografisk sikker tilfeldig generator. For å beskytte fortrolige data bør sesjonsdata lagres på serveren, mens bare referansen sendes til klienten. Sikkerhetsegenskaper som HttpOnly, Secure og SameSite brukes på cookien for å hindre tilgang fra JavaScript, sikre overføring og redusere CSRF-risiko. TLS/HTTPS er en sentral forutsetning.

Rotasjon av sesjonsIDer ved kritiske hendelser (for eksempel ved pålogging eller utlogging), samt begrenset levetid og mulighet for å invalideres ved behov, er viktige sikkerhetspraksiser. Det finnes også alternativer der applikasjonen bruker statsløse tilgangstokens (for eksempel JWT) i stedet for server-side sesjoner; slike løsninger innebærer ofte andre angrepsflater og livssykluskontroll.

I praksis kombineres sesjonsIDer med rammeverk og plattformspesifikke sikkerhetsfunksjoner for å sikre riktig tilgangsstyring og opprettholde brukeropplevelse.