Comment gérer les paramètres d'expiration de session sur la connexion Web OKX ?

Architecture de gestion de sessions

1. La connexion Web OKX ne repose pas sur le stockage de session traditionnel côté serveur. Il implémente l'authentification sans état à l'aide de jetons JWT émis après une vérification réussie des informations d'identification.

2. Chaque connexion génère un jeton d'accès de courte durée avec une fenêtre de validité fixe de 2 heures, appliquée strictement au niveau de la passerelle API.

3. Les jetons d'actualisation sont stockés cryptés dans le navigateur IndexedDB et restent valables pendant 30 jours à moins qu'ils ne soient révoqués manuellement ou déclenchés par des événements de sécurité.

4. L'expiration du jeton est intégrée à la charge utile JWT en tant que réclamation d'exp , vérifiée cryptographiquement à chaque demande adressée aux services backend.

5. Aucune option de configuration côté client n'existe pour modifier la durée de vie des jetons par défaut ; toutes les durées sont codées en dur dans la couche de service d'identité d'OKX.

Flux de renouvellement automatique des jetons

1. L'interface OKX surveille les horodatages d'expiration des jetons en temps réel à l'aide de performance.now() et de minuteries internes.

2. Lorsque la validité restante tombe en dessous de 90 secondes, le système lance une actualisation silencieuse via le point de terminaison POST /api/v5/users/login-renew.

3. Le renouvellement nécessite une nouvelle signature du jeton d'actualisation avec HMAC-SHA256 à l'aide d'une clé rotative dérivée de l'entropie spécifique à l'utilisateur.

4. Les tentatives de renouvellement échouées déclenchent une redirection immédiate de l'interface utilisateur vers la page de connexion sans exposer les codes d'erreur bruts aux utilisateurs finaux.

5. Les sessions simultanées sur plusieurs appareils sont autorisées mais soumises aux limites de simultanéité par compte définies dans le moteur de politique de risque d'OKX.

Mécanismes d'application de la sécurité

1. Toutes les validations de jetons s'effectuent au sein du microservice d'authentification renforcé d'OKX, isolé de l'exposition publique sur Internet.

2. La protection contre le piratage de session inclut la liaison des jetons à l'empreinte digitale TLS, la stabilité de la géolocalisation IP et le hachage du canevas de l'appareil.

3. Les activités suspectes telles que les cycles d'actualisation rapides des jetons ou les sauts IP transcontinentaux déclenchent l'invalidation automatique des jetons.

4. Les autorisations de stockage du navigateur appliquent des directives strictes de politique de sécurité du contenu empêchant l'injection de scripts non autorisés dans les contextes de stockage de jetons.

5. Les opérations de déconnexion effectuent une révocation synchrone sur toutes les sessions actives via les canaux pub/sub Redis distribués.

Contrôles de session au niveau du navigateur

1. OKX applique les attributs de cookie SameSite=Strict pour tous les cookies liés à l'authentification afin d'empêcher l'exploitation CSRF.

2. L'indicateur HttpOnly est défini sur les cookies de session pour bloquer l'accès JavaScript au matériel d'authentification sensible.

3. L'utilisation de LocalStorage est interdite pour stocker des informations d'identification ou des jetons ; seul IndexedDB avec chiffrement au repos est autorisé.

4. Les en-têtes Cache-Control imposent des directives de non-stockage pour tous les points de terminaison renvoyant des données sensibles à la session.

5. Les Web Workers gèrent les opérations cryptographiques en dehors du thread principal pour atténuer les attaques par canal secondaire.

Foire aux questions

Q : Puis-je prolonger manuellement mon jeton d'accès au-delà de deux heures ? Non. Les jetons d’accès ont une durée de vie immuable. Seul le mécanisme d'actualisation automatisé peut obtenir de nouveaux jetons avant l'expiration.

Q : La suppression des cookies du navigateur invalide-t-elle immédiatement ma session ? Oui. La suppression des cookies supprime le cookie de session HttpOnly, forçant la ré-authentification même si le jeton d'accès reste valide en mémoire.

Q : Pourquoi OKX utilise-t-il IndexedDB au lieu de localStorage pour les jetons d'actualisation ? IndexedDB prend en charge les API de chiffrement asynchrone et offre de meilleures limites d'isolation contre les charges utiles XSS par rapport aux opérations localStorage synchrones.

Q : Les délais d'expiration des sessions sont-ils affectés par le mode veille du navigateur ou la déconnexion du réseau ? Non. L'expiration est calculée côté serveur à l'aide des horodatages UTC. La dérive de l'horloge client est compensée par la synchronisation avec les serveurs NTP d'OKX lors de la prise de contact initiale.