Combien de temps une session doit-elle durer ?
Par L’équipe Alt Auth
Demandez à trois ingénieurs combien de temps une session doit durer, et vous obtiendrez une heure, une semaine et « jusqu’à la déconnexion ». Les trois peuvent avoir raison, car la réponse dépend entièrement de ce qu’un jeton volé peut faire et de la rapidité avec laquelle vous pouvez le révoquer.
La vraie question est la révocation
Un jeton signé reste valide jusqu’à son expiration, que vous ayez bloqué le compte depuis ou non. C’est le compromis : une vérification sans consulter de base de données, au prix d’une fenêtre pendant laquelle un utilisateur révoqué est encore admis. Une durée courte réduit cette fenêtre. Tout le reste de cette décision découle de la taille de fenêtre que vous pouvez accepter.
Des valeurs par défaut raisonnables
- Produit grand public, faible rayon d’impact : des heures à des jours, renouvelé silencieusement.
- Tout ce qui touche à l’argent ou aux données personnelles : des minutes, avec un chemin de renouvellement.
- Outils d’administration et de personnel : toujours courts, et réauthentification pour les actions destructrices.
- Ne délivrez jamais un jeton qui survit au compte auquel il appartient — vérifiez au renouvellement, pas seulement à l’émission.
Quel que soit votre choix, cela doit être un réglage et non une constante figée dans trois services. La durée de vie du jeton est configurable par projet dans Alt Auth à partir de l’offre Starter, avec les alertes de connexion échouée (sur toutes les offres) et les règles IP qui bloquent des adresses, des plages et des pays (à partir de Pro), pour les cas où une durée courte ne suffit pas à elle seule.