sessieIDs

Een sessie-ID is een unieke, tijdelijk toegewezen token die wordt gebruikt om aanvragen van dezelfde gebruiker aan een specifieke gebruikerssessie te koppelen. Het fungeert als bewijs dat de verzoeken afkomstig zijn van dezelfde interactie met de toepassing, zonder dat de gebruiker telkens opnieuw hoeft in te loggen.

Generatie en formaat: sessie-ID's worden doorgaans gegenereerd met een cryptografisch veilige bron van entropie en zijn lang genoeg om voorspelbaarheid te voorkomen (bijvoorbeeld 128–256 bits bij representatie als hex of base64). Het formaat kan hex, base64 of andere encoderingen hebben, en wordt vaak gecombineerd met server-side gegevens over de sessie.

Opslag en transport: in webomgevingen wordt een sessie-ID meestal in een cookie opgeslagen en bij elke HTTP(S) aanvraag meegestuurd. Cookies worden doorgaans ingesteld met HttpOnly, Secure en SameSite-attributen. Sommige systemen gebruiken ook tokens in de Authorization-header, vooral bij APIs en mobiele apps.

Implementatiesoorten: stateful (server-side sessieopslag, waarbij het ID verwijst naar data op de server) en stateless (bijv. JWT of ander getekend token dat zelf alle benodigde informatie bevat). Stateless systemen vermijden server-side opslag maar vereisen strikte beveiliging van de token.

Beveiliging en beheer: goede praktijken omvatten het roteren van sessie-ID's bij login, verversen na logout, timeouts en intrekking bij verdachte activiteiten, en het beperken van de levensduur. Bescherming tegen sessie-fixatie en CSRF is cruciaal; gebruik van HttpOnly, Secure en SameSite cookies, en server-side vernieuwing en invalidatie van IDs zijn aanbevolen.

Gebruik en toepassingsgebied: veel webapplicaties en API's gebruiken sessie-ID's om authenticatie en gebruikerswerkstappen te volgen. In multi-service omgevingen kunnen gedeelde cookies, tokens of een centraal autorisatiepunt worden gebruikt.