Як довго має тривати сесія?
Від Команда Alt Auth
Запитайте трьох інженерів, як довго має тривати сесія, і ви почуєте «годину», «тиждень» і «доки не вийдуть». Усі три можуть мати рацію, бо відповідь цілком залежить від того, що може зробити вкрадений токен і як швидко ви зможете його відкликати.
Справжнє питання — відкликання
Підписаний токен дійсний, доки не сплине термін, незалежно від того, чи ви вже заблокували обліковий запис. Це компроміс: перевірка без запиту до бази даних ціною вікна, в якому відкликаний користувач досі допускається. Короткий термін дії зменшує це вікно. Усе інше в цьому рішенні випливає з того, яке вікно ви готові терпіти.
Розумні типові значення
- Споживчий продукт з низьким радіусом ураження: від годин до днів, із тихим оновленням.
- Все, що стосується грошей або персональних даних: хвилини, з шляхом оновлення.
- Інструменти адміністраторів і персоналу: завжди короткі, а для деструктивних дій — повторна автентифікація.
- Ніколи не видавайте токен, який переживе обліковий запис, якому він належить — перевіряйте під час оновлення, а не лише під час видачі.
Що б ви не обрали, це має бути налаштування, а не константа, вшита в три сервіси. Термін дії токена налаштовується для кожного проєкту в Alt Auth починаючи з плану Starter, разом зі сповіщеннями про невдалі входи (на кожному плані) і правилами IP, які блокують адреси, діапазони та країни (з плану Pro) — для випадків, коли короткого терміну недостатньо самого по собі.