Sitzungs-Timeout-Sicherheitsbedenken

Question

Ich habe rot über die Sicherheitsrisiken der langen Sitzung Timeout. Auf der anderen Seite kann ich nach einem Monat zu tollen Webseiten zurückkehren und sehe, dass ich noch eingeloggt bin.

Es ist der Fall mit dem stacoverflow.com selbst, aber die gog.com oder g2a.com funktioniert in in der gleichen Weise. Was ist die goldene Regel dafür?

Ich werde eine E-Commerce-Website erstellen und die lange Sitzung Timeout wäre wirklich bequem für die Kunden. Ich denke, das ist keine einfache Antwort, denn auf einer E-Commerce-Website können Menschen Geld ausgeben. Trotzdem wäre eine kurze Auszeit (z.B. 1 Stunde) äußerst unbequem. Ich denke, die kürzeste akzeptable Timeout (aus Sicht der Kunden) ist eine Woche.

Einige Seiten verwenden ein kurzes Session-Timeout, aber automatisch (!) Setzen Sie ein "merke mich" oder Token-Cookie, deren Ergebnis gleich ist. Gibt es einen Unterschied?

Answer 1

Wenn Sie standardmäßig lange Sitzungstimeouts zulassen, besteht das Risiko auf gemeinsam genutzten Computern - zukünftige Benutzer greifen auf die Sitzung des aktuellen Benutzers zu. Wenn Sie versuchen, den Benutzer dafür verantwortlich zu machen, dass er sich nicht abgemeldet hat, werden Sie feststellen, dass Ihre Benutzerbasis schwindet und Sie viele Beschwerden von Endbenutzern bearbeiten müssen.

Es empfiehlt sich, standardmäßig eine kurze Zeitüberschreitung zu verwenden, aber die Option "An dieses Gerät erinnern" zu aktivieren, damit sich Benutzer für lange Sitzungen entscheiden können, wenn sie sich in einer vertrauenswürdigen Umgebung befinden. Die goldene Regel lautet "standardmäßig sicher".