Таймаут сессии — зачем нужен и как его настроить

Определение

Сессия — запись на сервере о том, что этот посетитель уже вошёл. Браузер хранит только предъявителя: сессионный токен в cookie. Таймаут — срок, после которого сервер стирает запись, и предъявитель превращается в бесполезную строку.

Таймаутов два, и работают они одновременно. Idle считает время от последнего действия: пять минут не трогали интерфейс — выкинуло. Абсолютный срок считается от входа и активностью не продлевается: 12 часов прошло — вход заново, даже если вы работали без перерыва.

Тот же механизм стоит за одноразовыми кодами. QR-авторизация обновляет картинку каждые несколько десятков секунд, потому что за ней стоит короткоживущий запрос на вход, а не постоянная ссылка.

Как работает

Срок задаёт та сторона, которая выдала код или открыла сессию, — пользователь его не меняет.

По истечении срока сервер говорит не «ошибка», а «начните заново». Это защита: украденный токен теряет ценность вместе с сессией, поэтому короткий таймаут и кнопка выхода значат больше, чем сложность пароля.

Связанные концепции

Где таймаут ломает работу, если про него забыли:

• скриншот кода авторизации отправляют в чат или вставляют в инструкцию — через минуту картинка мертва, а человек ищет причину в сканере;
• платёжный QR печатают и держат на кассе неделю — срок вышел, покупатель видит ошибку оплаты (как проверить QR-код на безопасность);
• длинный таймаут на общем планшете или компьютере в коворкинге открывает кабинет следующему, кто сядет;
• слишком короткий idle теряет заполненную форму оператора — лечится автосохранением черновика;
• частая ошибка: одноразовый код пересылают коллеге «на всякий случай» — он всё равно истечёт, зато попадёт в переписку.

Клиника в Самаре держала админку записи открытой на ресепшене с таймаутом 12 часов: после смены администратора карточки пациентов видел любой посетитель за стойкой. Idle снизили до 15 минут, форму научили сохранять черновик — жалоб на потерянные данные не прибавилось.

Частые вопросы