sesjonstid

Sesjonstid betegner den totale varigheten av en brukers aktive økt i et datasystem, fra innlogging til utlogging eller tidsavbrudd som følge av inaktivitet eller sikkerhetspolicy. Den brukes som mål på hvor lenge en bruker kan forbli autentisert og i bruk samtidig uten å måtte re-autentisere.

Sesjonstider består ofte av to mekanismer: et absolutt tidsavbrudd og et inaktivitetstimeout. Det absolutt tidsavbruddet fastsetter en øvre grense for hele sesjonens levetid, mens inaktivitetstimeout lukker sessjonen hvis det ikke skjer noen interaksjon innen en gitt periode. Vanlige verdier varierer fra noen få minutter til flere timer, avhengig av applikasjonens krav til sikkerhet og brukervennlighet.

Implementasjon kan være basert på server-side sesjonslagring eller token-baserte metoder. Vanligvis brukes en sesjons-cookie (ofte HttpOnly og Secure) for å identifisere pågående økter. Sliding expiration er en vanlig tilnærming der tidsfristen utvides ved aktivitet, men ofte med en maksimal total levetid for å begrense risikoen ved misbruk.

Sikkerhet og personvern er sentrale hensyn. Kortere sesjonstider reduserer risiko for uautorisert tilgang, mens lengre økter øker brukervennlighet. Mechanisms som regelmessig utstøting, krav om re-autentisering ved sensitive handlinger, session-id-rotasjon ved innlogging og beskyttelse mot sesjonsfiksjon og CSRF er viktige.

Anbefalinger inkluderer å tilpasse sesjonstiden til applikasjonens kontekst, implementere tydelig tilbakemelding til brukeren ved utløp, og tilby sikre og brukervennlige måter å fornye eller etablere nye økter på.