Jak długo powinna trwać sesja?
Autor: Zespół Alt Auth
Zapytaj trzech inżynierów, jak długo powinna trwać sesja, a usłyszysz: godzinę, tydzień i „do wylogowania”. Wszystkie trzy odpowiedzi mogą być słuszne, bo wszystko zależy od tego, co może zrobić skradziony token i jak szybko możesz go unieważnić.
Prawdziwe pytanie to unieważnienie
Podpisany token jest ważny, dopóki nie wygaśnie — niezależnie od tego, czy od tej pory zablokowałeś konto. To kompromis: weryfikacja bez zapytania do bazy danych kosztem okna, w którym unieważniony użytkownik nadal jest wpuszczany. Krótki czas życia zmniejsza to okno. Cała reszta tej decyzji wynika z tego, jak duże okno możesz zaakceptować.
Rozsądne wartości domyślne
- Produkt konsumencki o małym zasięgu skutków: od godzin do dni, odświeżany po cichu.
- Wszystko, co dotyczy pieniędzy lub danych osobowych: minuty, z drogą odświeżenia.
- Narzędzia administracyjne i dla personelu: zawsze krótko, a przy działaniach destrukcyjnych ponowne uwierzytelnienie.
- Nigdy nie wydawaj tokena, który przeżyje konto, do którego należy — sprawdzaj przy odświeżaniu, a nie tylko przy wydawaniu.
Cokolwiek wybierzesz, powinno to być ustawienie, a nie stała wkompilowana w trzy serwisy. Czas życia tokena jest konfigurowalny dla każdego projektu w Alt Auth od planu Starter, obok alertów o nieudanych logowaniach (w każdym planie) i reguł IP blokujących adresy, zakresy i kraje (od planu Pro) — na wypadek, gdyby sam krótki czas życia nie wystarczał.