#Политика безопасности токенов

Аутентификация пользователейCommunity Edition+

#Введение

Политика безопасности токенов — это функциональная настройка, разработанная для защиты безопасности системы и улучшения пользовательского опыта. Она включает в себя три основных параметра конфигурации: «Срок действия сессии», «Срок действия токена» и «Лимит времени на обновление просроченного токена».

#Раздел настройки

Раздел настройки находится в Настройках плагина - Безопасность - Политика токенов:

#Срок действия сессии

Определение:

Срок действия сессии — это максимальная продолжительность, в течение которой система позволяет пользователю поддерживать активную сессию после входа в систему.

Назначение:

По истечении срока действия сессии пользователь получит ошибку 401 при последующем доступе к системе, после чего система перенаправит его на страницу входа для повторной аутентификации. Пример: Если срок действия сессии установлен на 8 часов, то отсчитывая с момента входа пользователя, сессия истечет через 8 часов при отсутствии дополнительных взаимодействий.

Рекомендуемые настройки:

• Для сценариев краткосрочных операций: рекомендуется 1-2 часа для повышения безопасности.
• Для сценариев длительной работы: можно установить 8 часов для соответствия бизнес-требованиям.

#Срок действия токена

Определение:

Срок действия токена — это жизненный цикл каждого токена, выданного системой в течение активной сессии пользователя.

Назначение:

Когда срок действия токена истекает, система автоматически выдает новый токен для поддержания активности сессии. Каждый просроченный токен может быть обновлен только один раз.

Рекомендуемые настройки:

Из соображений безопасности рекомендуется устанавливать срок действия токена в пределах от 15 до 30 минут. Настройки можно корректировать в зависимости от требований сценария. Например:

• Для сценариев с высокой степенью безопасности: срок действия токена можно сократить до 10 минут или менее.
• Для сценариев с низким риском: срок действия токена можно соответствующим образом продлить до 1 часа.

#Лимит времени на обновление просроченного токена

Определение:

Лимит времени на обновление просроченного токена — это максимальный временной интервал, в течение которого пользователь может получить новый токен посредством операции обновления после истечения срока действия предыдущего токена.

Особенности:

Если лимит времени на обновление превышен, пользователь должен снова войти в систему, чтобы получить новый токен. Операция обновления не продлевает срок действия сессии, она лишь генерирует новый токен.

Рекомендуемые настройки:

Из соображений безопасности рекомендуется устанавливать этот лимит в пределах от 5 до 10 минут.