Onderwerp: automatisch uitloggen

Een klant van me wil een site met een beveiligde omgeving, maar
verlaten gebruikers de site, of sluiten ze de webbrowser, dan moeten
ze automatisch worden uitgelogd. Mijn klant zegt dat hij dit principe
ook bij online-bankieren-sites heeft gezien, dus zou het moeten
kunnen. Ik doe zelf niet aan online bankieren, dus heb geen idee hoe
't zou moeten werken.

Dus: hoe doe je dat, automatisch uitloggen?


--
branko collin
"I'm a little man, and I am also evil, also into cats,
.... also into cats" - Fall Out Boy, This Ain't a Scene,
It's an Arms Race

Op Mon, 02 Apr 2007 12:04:10 +0200 schreef Branko Collin:

> Een klant van me wil een site met een beveiligde omgeving, maar
> verlaten gebruikers de site, of sluiten ze de webbrowser, dan moeten
> ze automatisch worden uitgelogd. Mijn klant zegt dat hij dit principe
> ook bij online-bankieren-sites heeft gezien, dus zou het moeten
> kunnen. Ik doe zelf niet aan online bankieren, dus heb geen idee hoe
> 't zou moeten werken.
>
> Dus: hoe doe je dat, automatisch uitloggen?

Ligt eraan hoe er is ingelogd. Als dat met HTTP-authentificatie is gegaan,
dus via zo'n browser-popupje, is uitloggen bijzonder lastig. Kan alleen
door de browser te sluiten. Tenminste, ik zou niet weten hoe anders.

Je kunt beter gebruik maken van de mogelijkheden die sessies bieden: een
sessie verloopt indien x minuten niet gebruikt (= pagina opgevraagd). Of
zelf een dergelijk mechanisme maken. En er uiteraard voor zorgen dat de
gebruiker opnieuw dient in te loggen als de sessie verlopen is.

Bij huidige browsers wordt een gebruiker trouwens sowieso uigelogd als de
browser wordt gesloten, omdat het tijdelijke sessiekoekje dan wordt
verwijderd. Dat werkt weer niet als er een auto-inlog-feature is, waarbij
inloggegevens (al dan niet versleuteld) in een persistent cookie worden
bewaard (zoals bijvoorbeeld bij Wikipedia).

--
groet, Ronald

Branko Collin wrote...
>
> Een klant van me wil een site met een beveiligde omgeving, maar
> verlaten gebruikers de site, of sluiten ze de webbrowser, dan moeten
> ze automatisch worden uitgelogd. Mijn klant zegt dat hij dit principe
> ook bij online-bankieren-sites heeft gezien,

Bij de twee Nederlandse IB applicaties die ik ken gebeurt dat niet. Wat
daar gebeurt is dat de gebruiker een cookie krijgt waarop het expires
veld niet gezet is. Zo'n cookie wordt door de browser weggegooid op het
moment dat de gebruiker de browser (dus niet het tabblad!) afsluit.
Vanuit de server gezien is de gebruiker op dat moment nog niet
uitgelogd: zijn credentials zijn nog steeds geldig.

Maar je kan de site verlaten en later weer terugkomen en dan ben je nog
steeds ingelogd. Bij de ABN AMRO gebeurt dat bijvoorbeeld bij het
internet bankieren zelf: vanuit het internet bankieren kan je links
aanklikken om naar de publieke site te gaan (dat gebeurt bijvoorbeeld
bij gelinkte koersinformatie bij aandelen), wanneer je daarna op de
publieke site op internet bankieren klikt, ga je weer terug naar
internet bankieren, en ben je nog steeds ingelogd.

Even een hint wanneer je deze optie implementeert: zet bij dat cookie
het 'secure' veld indien je naast de beveiligde omgeving ook gebruikt
maakt van een onbeveiligde omgeving op hetzelfde domein. Anders stuurt
de browser het cookie met de logongegevens ook over de onbeveiligde
verbinding.

> dus zou het moeten kunnen. Ik doe zelf niet aan online bankieren,

Puur uit interesse: waarom niet? Ik kan me eigenlijk geen leven zonder
internet bankieren meer voorstellen.

> dus heb geen idee hoe 't zou moeten werken.
>
> Dus: hoe doe je dat, automatisch uitloggen?

Om ervoor te zorgen dat de server weet dat het browser-venster nog
steeds bestaat en de gebruiker nog steeds op de site aanwezig is heb je
een verbinding nodig van de browser naar de server. Je kan dat doen dmv
een java-applet, waarschijnlijk ook wel een stukje flash, of, zoals web
2.0 voorschrijft: Ajax. Dmv polling kan je de gebruiker automatisch
laten uitloggen op het moment dat de browser de java-applet / flash /
html pagina niet meer toont (of wanneer de verbinding verbroken is).

Mijn advies: niet doen, en gewoon voor een sessie-oplossing gaan.

Groeten,
David

Branko Collin schreef:
> Een klant van me wil een site met een beveiligde omgeving, maar
> verlaten gebruikers de site, of sluiten ze de webbrowser, dan moeten
> ze automatisch worden uitgelogd. Mijn klant zegt dat hij dit principe
> ook bij online-bankieren-sites heeft gezien, dus zou het moeten
> kunnen. Ik doe zelf niet aan online bankieren, dus heb geen idee hoe
> 't zou moeten werken.
>
> Dus: hoe doe je dat, automatisch uitloggen?

Is niet betrouwbaar te realiseren. Dit principe gaat er van uit dat de
server kan detecteren wanneer je browser de pagina niet meer toont. Dit
lukt alleen dmv client side scripting en dat kun je dus ook gewoon aan
de client kant uitzetten :-)

--
Arjen
http://www.hondenpage.com - Mijn site over honden

De Postbank heeft inderdaad zoiets. Als je hun Internet Bankieren pagina
afsluit komt er een pop-up, de pagina in die pop-up eindigt de sessie.

je moet de javascript event unload gebruiken

http://www.quirksmode.org/js/events_compinfo.html#t05






Branko Collin schreef:
> Een klant van me wil een site met een beveiligde omgeving, maar
> verlaten gebruikers de site, of sluiten ze de webbrowser, dan moeten
> ze automatisch worden uitgelogd. Mijn klant zegt dat hij dit principe
> ook bij online-bankieren-sites heeft gezien, dus zou het moeten
> kunnen. Ik doe zelf niet aan online bankieren, dus heb geen idee hoe
> 't zou moeten werken.
>
> Dus: hoe doe je dat, automatisch uitloggen?
>
>
> --
> branko collin
> "I'm a little man, and I am also evil, also into cats,
> ... also into cats" - Fall Out Boy, This Ain't a Scene,
> It's an Arms Race

Mark Bekkers :

> De Postbank heeft inderdaad zoiets.

Que?

> Als je hun Internet Bankieren pagina afsluit komt er een pop-up, de pagina
> in die pop-up eindigt de sessie.

Hier niet.

--
gr-hk

On Mon, 2 Apr 2007 20:24:08 +0200, David Baakman
<davidbaakman@nl.invalid> wrote:

>Puur uit interesse: waarom niet?

Eigenwijsheid.



--
branko collin
"I'm a little man, and I am also evil, also into cats,
.... also into cats" - Fall Out Boy, This Ain't a Scene,
It's an Arms Race

On Thu, 05 Apr 2007 21:09:01 +0200, Mark Bekkers
<markbekkers@doyourthing.nl> wrote:

>De Postbank heeft inderdaad zoiets. Als je hun Internet Bankieren pagina
>afsluit komt er een pop-up, de pagina in die pop-up eindigt de sessie.
>
>je moet de javascript event unload gebruiken

Hoe onderscheidt de Postbank tussen het sluiten van een venster en het
bewegen binnen de site? Het enige wat ik me kan voorstellen is dat je
binnen een frameset zit; het verlaten van de set vang je af, het
navigeren binnen frames niet.


--
branko collin
"I'm a little man, and I am also evil, also into cats,
.... also into cats" - Fall Out Boy, This Ain't a Scene,
It's an Arms Race

Op Sat, 07 Apr 2007 15:32:47 +0200 schreef Branko Collin:
> Mark Bekkers:
>
>> De Postbank heeft inderdaad zoiets. Als je hun Internet Bankieren pagina
>> afsluit komt er een pop-up, de pagina in die pop-up eindigt de sessie.
>>
>> je moet de javascript event unload gebruiken
>
> Hoe onderscheidt de Postbank tussen het sluiten van een venster en het
> bewegen binnen de site? Het enige wat ik me kan voorstellen is dat je
> binnen een frameset zit; het verlaten van de set vang je af, het
> navigeren binnen frames niet.

Je bent warm: de onunload zit niet in de frameset maar in het vaste
bovenframe.

--
groet, Ronald