Sessões e expiração: o equilíbrio entre segurança e conveniência

Quanto tempo uma pessoa deve continuar logada? A resposta depende do que o sistema protege. Um app de banco e um app de receitas não devem ter a mesma política — mas ambos precisam de uma política pensada.

Dois prazos diferentes

• Expiração por inatividade: a sessão termina depois de um tempo sem uso.
• Expiração absoluta: mesmo com uso contínuo, depois de um período máximo é preciso entrar de novo.

Tokens de acesso e de renovação

O padrão em APIs e apps:

1. 1.Token de acesso curto (minutos), usado em cada requisição.
2. 2.Token de renovação mais longo, guardado com mais segurança, usado para obter novos tokens de acesso.
3. 3.Rotação: a cada renovação, um novo token de renovação; o antigo deixa de valer.

Os detalhes de JWT estão em JWT: as armadilhas que deixam sua API aberta e o armazenamento seguro em Onde guardar tokens no celular: Keychain, Keystore e SecureStore.

Quando encerrar sessões

• Troca de senha: todas as sessões, exceto a atual.
• Suspeita de invasão: todas.
• Logout: a sessão daquele aparelho, no servidor também.

Reautenticação para ações sensíveis

Mesmo com sessão longa, peça senha ou biometria para trocar e-mail, senha, dados de pagamento ou ver informações muito sensíveis (Autenticação em dois fatores: implementar sem perder usuários).

Transparência

Mostre ao usuário os aparelhos conectados e permita encerrar sessões remotamente.

Veja Segurança Anti-Hacker da We Codex ou fale com a gente.