¿Cuánto debe durar una sesión?
Por El equipo de Alt Auth
Pregunta a tres ingenieros cuánto debe durar una sesión y obtendrás una hora, una semana y «hasta que cierren sesión». Los tres pueden tener razón, porque la respuesta depende por completo de lo que puede hacer un token robado y de la rapidez con la que puedes revocarlo.
La pregunta real es la revocación
Un token firmado es válido hasta que caduca, tanto si desde entonces has bloqueado la cuenta como si no. Esa es la contrapartida: verificación sin consultar la base de datos, a cambio de una ventana en la que un usuario revocado aún es admitido. Una duración corta reduce esa ventana. Todo lo demás en esta decisión depende de cuánta ventana puedas tolerar.
Valores por defecto razonables
- Producto de consumo, con poco radio de impacto: de horas a días, renovado de forma silenciosa.
- Todo lo que toque dinero o datos personales: minutos, con una ruta de renovación.
- Herramientas de administración y de personal: siempre cortas, y reautenticación para acciones destructivas.
- Nunca emitas un token que sobreviva a la cuenta a la que pertenece: compruébalo al renovar, no solo al emitir.
Elijas lo que elijas, debería ser un ajuste y no una constante compilada en tres servicios. La duración del token es configurable por proyecto en Alt Auth desde el plan Starter, junto con las alertas de inicio de sesión fallido (en todos los planes) y las reglas de IP que bloquean direcciones, rangos y países (desde Pro), para los casos en que una duración corta no basta por sí sola.