ID de sesión

En informática , un identificador de sesión , ID de sesión o token de sesión es un dato que se utiliza en las comunicaciones de red (a menudo a través de HTTPS ) para identificar una sesión , una serie de intercambios de mensajes relacionados. ^{[ 1 ]} Los identificadores de sesión se vuelven necesarios cuando la infraestructura de comunicaciones utiliza un protocolo sin estado como HTTP . Por ejemplo, un comprador que visita el sitio web de un vendedor quiere agregar varios artículos a un carrito de compras virtual y luego finalizar la compra yendo a la página de pago del sitio. Esto generalmente implica una comunicación continua donde el cliente solicita varias páginas web y el servidor se las envía de vuelta. En tal situación, es vital realizar un seguimiento del estado actual del carrito del comprador, y un ID de sesión es una forma de lograr ese objetivo.

Normalmente, se asigna un ID de sesión a un visitante en su primera visita a un sitio web. Se diferencia de un ID de usuario en que las sesiones suelen ser de corta duración (caducan tras un periodo de inactividad preestablecido, que puede ser de minutos u horas) y pueden dejar de ser válidas una vez que se ha cumplido un objetivo determinado (por ejemplo, una vez que el comprador ha finalizado su pedido, no puede utilizar el mismo ID de sesión para añadir más artículos).

Dado que los ID de sesión se utilizan a menudo para identificar a un usuario que ha iniciado sesión en un sitio web, un atacante puede usarlos para secuestrar la sesión y obtener posibles privilegios. Un ID de sesión suele ser una cadena generada aleatoriamente para disminuir la probabilidad de obtener uno válido mediante una búsqueda por fuerza bruta . Muchos servidores realizan una verificación adicional del cliente, en caso de que el atacante haya obtenido el ID de sesión. Vincular un ID de sesión a la dirección IP del cliente es una medida simple y efectiva siempre que el atacante no pueda conectarse al servidor desde la misma dirección, pero, por el contrario, puede causar problemas a un cliente si este tiene múltiples rutas al servidor (por ejemplo, conexiones a Internet redundantes) y su dirección IP se somete a traducción de direcciones de red ( NAT) .

Algunos ejemplos de los nombres que utilizan algunos lenguajes de programación para nombrar sus cookies son JSESSIONID ( Java EE ), PHPSESSID ( PHP ) y ASPSESSIONID ( Microsoft ASP ).

• Gestión de sesiones

• "Manual de PHP"
• "Manual de ASP" en w3schools