Expiración por inactividad y expiración absoluta

4 tareas · 40 min · Principiante

Una sesión que no vence es una puerta que nadie cierra. En Facturas Sativanorte una factura se anuló a las ocho de la noche desde el computador compartido de una contadora que se había ido a las seis de la tarde del día anterior. Con autorización escrita te entregan su política de sesión, la configuración, el código que corre antes de cada ruta y el registro de esa sesión. Se lee qué decide de verdad cuándo termina una sesión.

0 de 4 · 0%

Objetivo de la sala

Una sesión necesita dos límites que se miden distinto. La expiración por inactividad cuenta desde la última acción de la persona y se reinicia con cada una: corta las sesiones abandonadas. La expiración absoluta cuenta desde el ingreso y no se reinicia con nada: obliga a volver a autenticarse aunque la persona esté trabajando, y limita cuánto le sirve a alguien una sesión robada.

NIST SP 800-63B (revisión 4) pide fijar los dos y terminar la sesión cuando vence cualquiera; para su nivel intermedio de garantía recomienda no más de una hora de inactividad y no más de 24 horas en total. Cada organización elige sus cifras según el riesgo y las deja por escrito, como hizo Sativanorte en politica-sesion.txt.

Responde para continuar

Con la política de Sativanorte (15 minutos de inactividad, 8 horas máximo), una contadora trabaja sin pausas desde las 7:00. ¿Qué debe pasar a las 15:05?

Se le renueva el identificador y sigue trabajando sin ingresar Nada, porque nunca estuvo inactiva más de quince minutos Debe ingresar de nuevo, porque se cumplió la duración máxima

Ver pista de ayuda

Uno de los dos relojes no se reinicia con la actividad.

La inactividad solo funciona si «actividad» significa algo que hizo la persona. Muchas páginas preguntan solas al servidor cada cierto tiempo (avisos, mensajes, un contador). Si esas peticiones pasan por el mismo control que las demás y renuevan la sesión, una pestaña olvidada nunca está inactiva.

Abre panel.js, requiere-sesion.js y registro-actividad.txt en el laboratorio.

Responde para continuar

¿Qué ruta, pedida sola por la página cada minuto, mantiene viva la sesión aunque nadie toque el panel? Escríbela tal como aparece.

Con un límite absoluto en el servidor, ninguna sesión pasaría de las horas que fija la política, hubiera o no peticiones automáticas. El código guarda la hora del ingreso, pero nadie la compara con nada.

Calcula con el registro cuánto llevaba viva la sesión cuando se anuló la factura.

Responde para continuar

¿Cuántas horas llevaba abierta la sesión S-6120 cuando se anuló la factura? Escribe solo el número.

El equipo defiende su diseño: la cookie dura 15 minutos, así que la inactividad «ya está controlada», y la tarea de limpieza borra las sesiones viejas cada noche. Revisa config-sesion.js, requiere-sesion.js y limpieza.txt antes de responder.

Responde para continuar

¿Por qué ese diseño no cumple la política de Sativanorte?

Porque la tarea de limpieza corre una sola vez al día a las 03:00 y debería correr cada quince minutos para que la inactividad de la política se cumpla de verdad Porque el servidor nunca compara la última actividad ni la hora del ingreso: la cookie la guarda el navegador y la limpieza solo borra a los 30 días Porque el maxAge de la cookie tendría que ser de 8 horas para coincidir con la duración máxima que fija la política

Ver pista de ayuda

¿Quién decide si una sesión sigue valiendo cuando llega una petición?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Dos relojes distintos

2 Actividad que nadie hizo Lab

3 Cuánto vivió Lab

4 La cookie no es el reloj Lab

Whoami-Labs Pro utiliza cookies