utloggning

Utloggning avser processen att avsluta en användarsession i en applikation eller tjänst. Syftet är att förhindra obehörig åtkomst när användaren lämnar en enhet eller inte längre är aktiv.

Tekniskt består en session ofta av ett sessionsidentifierare som lagras i en kaka och/eller i klientens lagringsutrymme, samt motsvarande serverstatus. Vid inloggning skapas en användarsession och ett token eller sessions-id används för att verifiera begäranden. Vid utloggning görs sessionen ogiltig i servern och/eller tokens revokeras. På klientsidan raderas cookies eller annan lokal lagring för att bryta kopplingen till sessionen.

Det finns olika nivåer av utloggning. En mjuk utloggning avslutas när användaren begär det eller när en inaktivitetstidsgräns nås. En tvingad utloggning kan ske av säkerhetsskäl eller av systempolicy, till exempel efter lösenordsändring eller en allvarlig säkerhetshändelse. Vissa system stödjer också utloggning från identitetsleverantören vid SSO.

Säkerhet är centralt. Utloggning bör ske via säkra mekanismer (ofta POST-begäran) och använda CSRF-skydd. Cookies bör vara Secure och HttpOnly, med SameSite-inställning där det är möjligt. Tokenbaserade system bör kunna ogiltigförklara eller recuva tokens vid utloggning. För SSO-scenarier kan front-channel eller back-channel-utloggning tillämpas för att logga ut från bådeApplikationen och identitetsleverantören.

Användarupplevelse och integritet är viktiga hänsyn. Utloggning bör vara tydlig, kräva bekräftelse när så är lämpligt, och loggningar bör endast behållas enligt gällande sekretess- och dataskyddslagar. Auditloggar kan hjälpa till spårbarhet och felutredning.