Administración de sesiones

La administración de sesiones es una práctica recomendada para la seguridad de la API que impide la denegación de servicio (DoS). Una sesión representa la cantidad de tiempo que un visitante emplea en el sitio y no está relacionada con el tiempo que los usuarios administradores o clientes inician sesión en sus cuentas.

Una sesión es una secuencia de transacciones de solicitud y respuesta HTTP de red asociadas al mismo usuario. Es una forma de asociar un cliente (administrador) con sus datos cuando accede al servidor. Las sesiones se utilizan para establecer variables, como derechos de acceso y configuración de localización, que se aplican a cada interacción que un usuario tiene con una aplicación web durante la sesión.

Tamaño de sesión

Utilice las siguientes opciones de configuración para limitar el tamaño máximo de sesión para los usuarios administradores y los visitantes de tiendas:

Para configurar el tamaño máximo de la sesión:

Sesiones de administración

Si supera el tamaño máximo de sesión, aparecerá un mensaje de error y el sistema registrará la restricción de tamaño de sesión en el directorio var/log.

Si pierde el acceso al administrador después de establecer el tamaño de la sesión demasiado bajo, utilice la CLI para restablecer la configuración:

bin/magento config:set system/security/max_session_size_admin 256000

Sesiones de tienda

Si se supera el tamaño máximo de sesión, no se muestra ningún error, pero el sistema registra la restricción de tamaño de sesión en el directorio var/log.

Validación de sesión

Adobe Commerce y Magento Open Source permiten validar variables de sesión como medida de protección contra posibles ataques de fijación de sesión o intentos de envenenar o secuestrar sesiones de usuario. La configuración de validación de sesión determina cómo se validan las variables de sesión durante cada visita al almacén y si el ID de sesión se incluye en la dirección URL del almacén.

Para obtener información técnica, consulte Usar Redis para el almacenamiento de sesión en la Guía de configuración.

La validación comprueba que los visitantes son quienes dicen ser comparando el valor de las variables de validación con los datos de sesión almacenados en $_SESSION para el usuario. La validación falla si la información no se transmite según lo esperado y la variable correspondiente está vacía. Según la configuración de validación de sesión, si una variable de sesión falla en el proceso de validación, la sesión del cliente finaliza inmediatamente.

Habilitar todas las variables de validación puede ayudar a evitar ataques, pero también puede afectar al rendimiento del servidor. De forma predeterminada, toda la validación de variables de sesión está deshabilitada. Le recomendamos que experimente con la configuración para encontrar la mejor combinación para su instalación de Adobe Commerce o de Magento Open Source. La activación de todas las variables de validación puede resultar indebidamente restrictiva e impedir el acceso a los clientes que tienen conexiones a Internet que pasan a través de un servidor proxy o se originan detrás de un cortafuegos. Para obtener más información sobre las variables de sesión y su uso, consulte la documentación de administración del sistema para su sistema Linux®.

Para configurar la validación de la sesión:

Duración de sesión de administrador

Como medida de seguridad, Admin se ha configurado inicialmente para que agote el tiempo de espera tras 900 segundos (15 minutos) de inactividad del teclado. Puede ajustar la duración de la sesión para adaptarla al estilo de trabajo.

Para ajustar la duración de la sesión de administración:

Como medida de seguridad, Admin se ha configurado inicialmente para que agote el tiempo de espera tras 900 segundos (15 minutos) de inactividad del teclado. Puede ajustar la duración de la sesión para adaptarla al estilo de trabajo.

Para ajustar la duración de la sesión de administración: