Dicas.NET - ASP.NET : slidingExpiration em forms (mais segurança)

Veja nesta dica, como fixar um timeout para cookies, em aplicações ASP.NET, melhorando a segurança de seu site.

ASP.NET : slidingExpiration em forms (mais segurança)


A autenticação dos usuários por formsAuthentication no ASP.NET é controlada por um cookie. Esse cookie tem um prazo de validade, uma expiração de 30 minutos por default.

Ocorre que esta forma de expiração é o que chamamos de sliding : Ele expira em 30 minutos sem uso. A cada vez que o usuário chamar uma página, ganha mais 30 minutos.

Do ponto de vista da segurança isso não é bom, pois fornece a um invasor todo o tempo necessário para obter informações que deseja.

Podemos resolver isso com uma configuração simples : No web.config, na configuração de formsAuthentication, podemos utilizar slidingExpirationfiltered=false, fazendo com que os 30 minutos de timeout sejam fixos.

Vejam como fica a configuração :

<configuration>
<system.Web>
<authentication mode="Forms">
<forms slidingExpirationfiltered="false">

Artigos relacionados