Wie lange sollte eine Sitzung dauern?
Von Das Alt-Auth-Team
Fragen Sie drei Engineers, wie lange eine Sitzung dauern sollte, und Sie bekommen eine Stunde, eine Woche und »bis sie sich abmelden«. Alle drei können recht haben, denn die Antwort hängt ganz davon ab, was ein gestohlenes Token anrichten kann und wie schnell Sie es zurückholen können.
Die eigentliche Frage ist der Widerruf
Ein signiertes Token ist gültig, bis es abläuft — ganz gleich, ob Sie das Konto inzwischen gesperrt haben. Das ist der Kompromiss: Prüfung ohne Datenbankabfrage, dafür mit einem Zeitfenster, in dem ein widerrufener Nutzer noch zugelassen wird. Eine kurze Lebensdauer verkleinert dieses Fenster. Alles Weitere in dieser Entscheidung folgt daraus, wie groß das Fenster sein darf.
Vernünftige Standardwerte
- Verbraucherprodukt mit geringem Schadensradius: Stunden bis Tage, still erneuert.
- Alles, was Geld oder personenbezogene Daten berührt: Minuten, mit einem Erneuerungsweg.
- Admin- und Mitarbeiter-Werkzeuge: immer kurz, und für zerstörerische Aktionen erneute Authentifizierung.
- Stellen Sie nie ein Token aus, das das Konto überlebt, zu dem es gehört — prüfen Sie beim Erneuern, nicht nur beim Ausstellen.
Was auch immer Sie wählen: Es sollte eine Einstellung sein und keine Konstante, die in drei Dienste eingebaut ist. Die Token-Lebensdauer ist in Alt Auth ab dem Starter-Tarif pro Projekt konfigurierbar, zusammen mit Benachrichtigungen bei fehlgeschlagenen Anmeldungen (in jedem Tarif) und IP-Regeln, die Adressen, Bereiche und Länder blockieren (ab Pro) — für Fälle, in denen eine kurze Lebensdauer allein nicht genügt.