セッション管理（Session Management）

セッション管理（Session Management）とは、ひとことで言えば、ユーザーがログインしてからログアウトするまでの通信状態を安全に維持・制御する仕組みです。たとえば、ECサイトにログインした後、ページ遷移のたびに再認証せずに買い物を続けられるのは、セッションIDによって認証状態が維持されているからです。セッション管理の不備は深刻な脆弱性につながり、セッションハイジャック（他人のセッションIDを奪取してなりすます）やセッション固定攻撃（攻撃者が指定したセッションIDを被害者に使わせる）などの攻撃を受けるリスクがあります。対策として、セッションIDの十分なランダム性確保、適切なタイムアウト設定、ログイン時のセッションID再発行、HTTPS通信の強制が重要です。