و Session Management ؟
قد ينجح المستخدم في تسجيل الدخول بشكل آمن، ومع ذلك يمكن أن تكون جلسة المستخدم نفسها معرضة للخطر.
وهنا يجب التفريق بين Authentication وSession Management.
🔐 Authentication
هي العملية التي يتأكد فيها النظام من هوية المستخدم.
مثال:
المستخدم يرسل:
Username + Password
والنظام يتحقق من البيانات.
إذا كانت صحيحة، تتم المصادقة.
لكن ماذا يحدث بعد ذلك؟
هل سيطلب النظام كلمة المرور في كل Request؟
عادة لا.
وهنا تظهر:
🎫 Session Management
بعد نجاح تسجيل الدخول، يحتاج التطبيق إلى طريقة لربط الطلبات التالية بنفس المستخدم.
قد يستخدم النظام Session ID أو Token وفق التصميم المستخدم.
مثال:
المستخدم يسجل الدخول.
النظام ينشئ Session.
ثم يرسل المتصفح معرف الجلسة مع الطلبات التالية.
هنا يجب حماية هذه الجلسة.
لأن امتلاك Session Token صالح قد يعني إمكانية الوصول إلى الحساب وفق صلاحياته.
ولهذا توجد ممارسات مهمة مثل:
🔒 Secure Cookies
🔒 HttpOnly
🔒 SameSite
🔄 Session Rotation
⏱️ Session Expiration
🚪 Logout / Session Revocation
مثال:
لنفترض أن مهاجمًا حصل على Session Token صالح.
حتى لو كانت كلمة المرور قوية جدًا وMFA مفعلة، قد يصبح Token المسروق مشكلة مستقلة.
لذلك لا يكفي أن تقول:
"لدينا تسجيل دخول آمن."
السؤال التالي هو:
"كيف تتم إدارة الجلسة بعد تسجيل الدخول؟"
Session Management.
الفرق باختصار:
🔐 Authentication = إثبات هوية المستخدم.
🎫 Session Management = إدارة حالة الجلسة التي تمثل المستخدم أثناء استخدام التطبيق.
وهذا Web Applications وAPIs، لأن حماية الحساب لا تنتهي بمجرد نجاح Login.
يجب التفكير أيضًا في دورة حياة الجلسة:
كيف يتم إنشاؤها؟
كيف يتم تخزينها؟
متى تنتهي؟
كيف يتم إلغاؤها؟
وماذا يحدث عند تغيير كلمة المرور أو تسجيل الخروج من جميع الأجهزة؟
الأمن الجيد ينظر إلى رحلة المستخدم كاملة، وليس فقط إلى شاشة تسجيل الدخول.