Сесія — це “ключ” до аккаунта
Навіть якщо у вас ідеальний RBAC, компрометований токен обходить усі правила. Тому управління сесіями — критична частина безпеки веб‑додатків і бекофісів.
1) Access vs refresh
- Access token — короткоживучий.
- Refresh — довший, але з ротацією і контролем пристрою.
2) Ротація refresh tokens
При кожному оновленні видавай новий refresh. Старий стає невалідним. Це зменшує шкоду від витоку.
3) Device sessions
- Список активних сесій: пристрій, IP, остання активність.
- Кнопка “вийти з усіх пристроїв” і точкове відкликання.
4) Revocation і TTL
Список відкликань (revocation list) або token versioning допомагають швидко “вимкнути” доступ при інциденті.
Підсумок
Керовані сесії (ротація, device sessions, revocation) — базовий захист від крадіжки доступу. Це доповнює RBAC і аудит.