Eine Session ist der Zusammenhang zwischen mehreren Aufrufen desselben Nutzers innerhalb einer gewissen Zeit. Auf Deutsch heißt sie Sitzung.
- Session
Der Zusammenhang zwischen mehreren Aufrufen desselben Nutzers innerhalb einer gewissen Zeit.
Beispiel: „Die Session hält den Warenkorb, bis der Besucher die Bestellung abschließt oder eine halbe Stunde nichts tut.“Auch: Sitzung. Das Merkmal, über das sie wiedererkannt wird, heißt Sitzungskennung oder Session-ID.
Abgrenzung zum Cookie: Das Cookie transportiert die Kennung. Die Session selbst sind die Daten, die zu dieser Kennung gehören.
Warum es Sessions überhaupt gibt
Weil HTTP zustandslos ist. Jede Anfrage erreicht den Server ohne Erinnerung an die vorige; für den Server ist der Klick auf „Zur Kasse“ zunächst nicht mit dem Klick auf „In den Warenkorb“ verbunden. Die Session stellt diese Verbindung her, indem jede Anfrage eine Kennung mitbringt und der Server dazu seine Notizen nachschlägt.
Wo die Sitzungsdaten liegen
An einer von drei Stellen, mit Folgen für den Betrieb. Klassisch liegen sie als Dateien auf dem Server; das ist einfach und bricht, sobald mehrere Server abwechselnd antworten. In einem gemeinsamen Zwischenspeicher liegen sie serverübergreifend und schnell, siehe Cache. Oder sie liegen signiert beim Nutzer statt auf dem Server, siehe JWT; dann entfällt das Nachschlagen, und das Abmelden wird schwieriger.
Warum die Dauer eine Sicherheitsentscheidung ist
Weil eine laufende Session der Nachweis der Anmeldung ist. Wer die Kennung in die Hände bekommt, ist angemeldet, ohne ein Passwort zu kennen und ohne einen zweiten Faktor zu brauchen, siehe Session Hijacking. Eine Session, die nach Untätigkeit endet, begrenzt deshalb den Schaden. Üblich sind Minuten im Bankgeschäft und Stunden im Alltagsbetrieb; dauerhaft angemeldet zu bleiben ist eine bewusste Abwägung und keine Voreinstellung.
Was beim Anmelden und Abmelden passieren muss
Zwei Handgriffe, die oft fehlen. Nach einer erfolgreichen Anmeldung bekommt die Session eine neue Kennung; sonst ist eine Session Fixation möglich. Und beim Abmelden werden die Daten auf dem Server verworfen, nicht nur das Cookie im Browser gelöscht: Was der Server noch kennt, ist mit einer abgefangenen Kennung weiter benutzbar.
Session in der Reichweitenmessung
Dort meint das Wort etwas anderes. In Auswertungswerkzeugen ist eine Session ein Besuch, der nach einer festgelegten Zeit ohne Aktivität endet, und diese Zeit ist eine Einstellung des Werkzeugs, keine technische Größe. Zahlen aus zwei Werkzeugen lassen sich deshalb nur vergleichen, wenn beide dieselbe Schwelle benutzen.