Сессионный токен — что это такое и как защищает данные

Что такое сессия и сессионный токен

Сессия — период, в течение которого сервер считает пользователя авторизованным без повторного запроса пароля на каждое действие. Сессионный токен — уникальная строка, которую сервер выдаёт устройству после входа и которая подтверждает: запрос действительно от вошедшего пользователя. Пароль проверяется один раз, а дальше каждый запрос сопровождается токеном вместо пароля.

Токен хранится на стороне клиента: в cookie браузера, в localStorage или в защищённом хранилище устройства (Keychain на iOS, Keystore на Android). Сервер либо хранит соответствие токена и пользователя у себя, либо использует самодостаточный JWT, в который зашифрованы данные о пользователе и сроке действия.

Как устроен токен и где он живёт

У большинства сервисов в ходу два токена. Токен доступа (access token) — короткоживущий, используется на каждый запрос к API. Токен обновления (refresh token) — живёт дольше и хранится более защищённо; когда access token истекает, клиент обменивает refresh token на новую пару без повторного ввода пароля. Подробнее о разграничении токенов — в материале про OAuth 2.0, где эта пара — стандартный элемент протокола.

Передача токена обязана идти по защищённому каналу — HTTPS поверх TLS. По обычному HTTP токен можно перехватить в той же Wi-Fi-сети — атака известна как session hijacking. Поэтому токены исключают из логов и адресной строки: любой канал утечки строки токена — потенциальная утечка сессии без утечки пароля.

Срок жизни и продление

Таймаут бездействия — сессия закрывается без активности заданное время (15–30 минут для банковских сервисов, недели — для соцсетей). Абсолютный срок действия — сессия завершается спустя фиксированный интервал независимо от активности, ограничивая окно, полезное для атакующего с украденным токеном.

Многие сервисы используют «скользящее» продление: каждое действие сдвигает таймаут бездействия вперёд. При входе через QR-код или второй фактор сервер создаёт отдельную новую сессию со своим токеном — старые сессии на других устройствах она не затрагивает.

Отзыв сессий и почему важно закрывать чужие устройства

Отзыв — принудительное завершение сессии до истечения срока: сервер помечает токен недействительным, и следующий запрос с ним получает отказ. Раздел «активные сессии» в настройках аккаунта — список токенов, которые сервер считает действительными, с привязкой к устройству и геолокации по IP.

Закрывать сессию на чужом устройстве нужно потому, что токен работает вместо пароля: смена пароля основного аккаунта не затронет уже открытую сессию — токен продолжит действовать до истечения срока или явного отзыва. Функция «выйти со всех устройств» отзывает разом все токены — стандартная мера при подозрении на компрометацию или обнаружении перехода по вредоносной ссылке.

Частые вопросы