لماذا تنتهي مهلة الجلسة، وكيف يؤثر ذلك في المستخدم؟

انتهاء مهلة الجلسة ميزة أمان تنهي جلسة المستخدم تلقائيًا بعد فترة معينة من عدم النشاط. ويختلف طول هذه الفترة حسب متطلبات الأمان في التطبيق، وعادةً ما يتراوح بين بضع دقائق للتطبيقات عالية المخاطر ونحو 30 دقيقة للتطبيقات الأقل حساسية. وعندما تنتهي صلاحية الجلسة، يجب على المستخدم تسجيل الدخول مجددًا لاستعادة الوصول إلى النظام.

انتهاء مهلة الجلسة مهم للأمان لأنه يقلل خطر الوصول غير المصرح به إلى المعلومات الحساسة. فإذا نسي المستخدم تسجيل الخروج أو تُرك جهاز دون مراقبة، يمكن لانتهاء مهلة الجلسة أن يمنع شخصًا آخر من الوصول إلى النظام باستغلال الجلسة المفتوحة. وهذا بالغ الأهمية بشكل خاص في البيئات التي تُستخدم فيها حواسيب أو أجهزة محمولة مشتركة، إذ يحمي من الاختراقات الأمنية المحتملة.

ومقارنة بالتدابير الأمنية الأخرى التي تتطلب مراقبة مستمرة أو تدخلًا يدويًا، يُعد انتهاء مهلة الجلسة طريقة فعالة ومؤتمتة لحماية بيانات المستخدمين والمساعدة على ضمان ألا يصل إلى النظام إلا الأشخاص المصرح لهم.

يعني انتهاء مهلة الجلسة أن يُسجَّل خروج المستخدم بعد فترة دون نشاط. فإذا كانت الفترة قصيرة جدًا، فقد يكون ذلك مزعجًا، لأن المستخدم يضطر إلى تسجيل الدخول مجددًا أو لأن نموذجًا مكتملًا جزئيًا يضيع.

وإذا كانت الفترة طويلة جدًا، يزداد خطر وصول الآخرين إذا تُرك الجهاز غير مقفل. والحل الجيد ينبه المستخدم قبل انتهاء صلاحية الجلسة ويقدم خيار تمديدها. وفي تطبيقات الأجهزة المحمولة، يمكن لتسجيل الدخول البيومتري أن يجعل إعادة تسجيل الدخول سريعة، بحيث لا يُنظر إلى المهلة الأقصر على أنها مزعجة. وينبغي حفظ المدخلات غير المكتملة حيثما أمكن.

ينبغي أن تعتمد مدة انتهاء مهلة الجلسة على مدى حساسية البيانات والإجراءات التي يتيح التطبيق الوصول إليها. فالمصرف الإلكتروني أو التطبيق الذي يحتوي على معلومات صحية ينبغي أن تكون مهلته قصيرة، بينما يستطيع تطبيق إخباري أو خدمة موسيقى إبقاء المستخدم مسجّل الدخول لفترة أطول بكثير.

ومن المفيد أيضًا مراعاة أين وكيف يُستخدم التطبيق، على سبيل المثال على حواسيب مشتركة أو هواتف خاصة، وما إذا كانت هناك متطلبات قانونية أو معايير قطاعية تنطبق. وفضلًا عن ذلك، يمكن التمييز بين المهلة بسبب عدم النشاط والحد المطلق لمدة الجلسة. ويمكن لخيار إعادة تسجيل الدخول السريع بالقياسات الحيوية أن يجعل المهلة الأقصر أكثر قبولًا.

ينبغي فرض انتهاء مهلة الجلسة على الخادم بحيث تنتهي صلاحية الجلسة بغض النظر عما يحدث في التطبيق. فيسجل الخادم وقت آخر نشاط ويرفض الطلبات عند تجاوز الحد الزمني. ويمكن للعميل استكمال ذلك بعد تنازلي وتنبيه للمستخدم.

وفي التطبيقات التي تستخدم الرموز المميزة، كثيرًا ما يُستخدم رمز وصول قصير العمر مع رمز تحديث يمكن استخدامه للحصول على رمز وصول جديد ما دام المستخدم نشطًا. وعندما يسجل المستخدم الخروج أو تنتهي صلاحية الجلسة، يجب إبطال الرموز على الخادم وحذفها من الجهاز. وينبغي إخفاء البيانات الحساسة المعروضة على الشاشة عند انتهاء صلاحية الجلسة.

المهلة بسبب عدم النشاط، التي كثيرًا ما تُسمى مهلة الخمول، تسجّل خروج المستخدم عندما لا يحدث أي نشاط لفترة معينة، مثل 15 دقيقة. وفي كل مرة يفعل فيها المستخدم شيئًا، يبدأ العد التنازلي من جديد.

أما المهلة المطلقة، فتضع حدًا ثابتًا لمدة الجلسة، بغض النظر عما إذا كان المستخدم نشطًا. فبعد ثماني ساعات مثلًا، يجب على المستخدم تسجيل الدخول مجددًا. ويحد الحد المطلق من الضرر إذا تمكن مهاجم من الاستيلاء على جلسة، لأنه لا يمكن إبقاؤها نشطة إلى ما لا نهاية. وكثيرًا ما يُستخدم النوعان معًا لتحقيق سهولة الاستخدام والأمان معًا.

يحد انتهاء مهلة الجلسة من الوقت الذي يمكن خلاله إساءة استخدام جلسة مفتوحة. فإذا نسي المستخدم تسجيل الخروج على حاسوب مشترك أو ترك هاتفًا غير مقفل، تُنهى الجلسة تلقائيًا بعد فترة دون نشاط، حتى لا يتمكن الآخرون من المتابعة من حيث توقف المستخدم.

كما يجعل انتهاء المهلة استغلال مفاتيح الجلسة أو الرموز المميزة المسروقة أصعب، لأنها لا تكون صالحة إلا لفترة محدودة. وهذا يقلل خطر الهجمات التي يحاول فيها المهاجم الاستيلاء على جلسة نشطة. غير أن انتهاء المهلة ليس إلا طبقة واحدة من عدة طبقات، وينبغي الجمع بينه وبين التخزين الآمن للرموز المميزة و HTTPS والمصادقة القوية.