Gestion des sessions (renforcement de la sécurité de l’instance)

La gestion des sessions permet d’identifier correctement le trafic qui appartient à un utilisateur spécifique. Prenez des précautions pour vous assurer qu’il n’y a pas d’abus de la relation de confiance.

Les applications Web peuvent créer des sessions pour suivre les utilisateurs anonymes après la première demande de l’utilisateur. Par exemple, le maintien de la préférence de langue de l’utilisateur, en veillant à ce que :

• Identification de l’utilisateur sur toutes les demandes ultérieures.
• Application des contrôles d’accès de sécurité.
• Autorisation d’accès aux données privées de l’utilisateur.
• Augmentation de l’ergonomie de l’application.

Par conséquent, les applications Web actuelles peuvent fournir des options de session avant et après authentification.

Authentification et gestion des sessions

L’authentification est le processus qui consiste à vérifier qu’une personne, une entité ou un site Web est bien celui qu’il prétend être.

L’authentification tente de vérifier l’identité numérique de l’expéditeur d’une communication. Tester le schéma d’authentification signifie comprendre comment fonctionne le processus d’authentification et utiliser ces informations pour contourner le mécanisme d’authentification. Un exemple courant est le processus de connexion. L’authentification a lieu après la soumission d’un nom d’utilisateur, d’un ID d’utilisateur et d’un ou plusieurs éléments d’informations privées que seul l’utilisateur connaîtrait.

La gestion des sessions comprend des propriétés liées à la sécurité qu’un administrateur peut configurer pour assurer que des mécanismes de gestion de session sécurisée sont établis dans le Now Platformfichier .

• Délai absolu de la session (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour définir une durée de vie maximale pour les glide.ui.user_cookie.max_life_span_in_days cookies utilisateur créés lorsque les utilisateurs se connectent avec la case Se souvenir de moi cochée. Lorsque le cookie expire, les utilisateurs qui ont coché la case Se souvenir de moi sont obligés de s’authentifier à nouveau dans l’instance.
• Jeton anti-CSRF (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour garantir l’utilisation glide.security.use_csrf_token d’un jeton de sécurité pour identifier et valide les demandes entrantes, qui sont ensuite utilisées pour prévenir ces attaques.
• Changer les informations d’identification par défaut (renforcement de la sécurité de l’instance)
  Utilisez la case à cocher Mot de passe à réinitialiser dans Utilisateurs et groupes pour vous assurer qu’un utilisateur illégitime ne peut pas tirer parti des données par défaut.
• Cookies HTTP uniquement (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour activer l’attribut HTTPOnly pour les glide.cookies.http_only cookies sensibles.
• Validation stricte CSRF (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour activer la glide.security.csrf.strict.validation.mode validation stricte du jeton CSRF. Si le jeton CSRF ne correspond pas, une nouvelle soumission de la demande est impossible.
• Désactiver l’authentification sans mot de passe (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour empêcher les glide.login.no_blank_password utilisateurs de se connecter Now Platform avec des mots de passe vierges ou en laissant le champ Mot de passe vide.
• Activer l’authentification multifacteur (MFA) (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour activer l’authentification glide.authenticate.multifactor à plusieurs facteurs (MFA) dans l’instance. La MFA est un besoin de sécurité qui demande à l’utilisateur de saisir plus d’un ensemble d’informations d’identification pour s’authentifier auprès d’une instance.
• Définir des critères d’authentification multifacteur basés sur les rôles
  Utilisez la propriété pour appliquer l’authentification multifacteur (MFA) basée sur les glide.authenticate.multifactor rôles à tous les utilisateurs affectés à des rôles spécifiques.
• Activer les contrôles de la politique de Réinitialisation du mot de passe (renforcement de la sécurité de l’instance)
  Utilisez la propriété glide.enable.password_policy pour activer les vérifications de la politique de mot de passe chaque fois qu’un utilisateur change son mot de passe à l’aide de l’interface utilisateur.
• Gestion des échecs de tentatives de connexion (renforcement de la sécurité de l’instance)
  Deux actions des scripts sont disponibles afin qu’un administrateur de site puisse gérer le nombre de tentatives de mot de passe incorrect pour un utilisateur avant d’être bloqué par le Now Platform. Vous pouvez activer l’une ou l’autre de ces actions de script pour gérer les échecs de tentative de connexion.
• Saisie semi-automatique du champ de mot de passe (renforcement de la sécurité de l’instance)
  Utilisez cette propriété pour permettre aux navigateurs d’utiliser la saisie semi-automatique sur les champs de mot de passe dans les glide.login.autocomplete formulaires de connexion.
• Supprimer les informations d’identification de la page d’accueil (renforcement de la sécurité de l’instance)
  Modifiez le contenu par défaut sur la page d’accueil pour supprimer les informations d’identification par défaut.
• Supprimer Se souvenir de moi (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour supprimer la case à cocher « Se souvenir de moi » de la page de connexion afin d’éviter que glide.ui.forgetme les informations de connexion ne soient mises en cache.
• Rotation des identificateurs de session HTTP (renforcement de la sécurité de l’instance)
  Utilisez cette propriété pour activer la rotation des identificateurs de session HTTP afin de réduire les glide.ui.rotate_sessions failles de sécurité.
• Cookies de session sécurisés (renforcement de la sécurité de l’instance)
  Utilisez la glide.ui.secure_cookies propriété pour exiger des cookies correctement formatés
• Politique de référence de la sécurité (renforcement de la sécurité de l’instance)
  Utilisez cette propriété pour contrôler les données référentes qui doivent être envoyées dans les com.glide.security.referrerpolicy en-têtes de réponse HTTP lorsque Now Platform pages envoie des demandes de données. La valeur Referrer-Policy d’un en-tête HTTP contrôle quelles informations de référent doivent être incluses dans les demandes de données.
• Délai d’activité de la session (renforcement de la sécurité de l’instance)
  Utilisez la propriété pour désigner, en minutes, la valeur du délai d’expiration de l’activité glide.ui.session_timeout .
• Délai d’expiration de la fenêtre de session (renforcement de la sécurité de l’instance)
  Utilisez la glide.ui.user_cookie.life_span_in_days propriété pour définir le délai d’expiration du cookie Se souvenir de moi. La valeur par défaut est de 15 jours et le délai maximum est de 30 jours.
• Configurer les mots de passe pour les comptes utilisateur créés automatiquement
  Utilisez les propriétés système glide.email.inbound.use_default_password et glide.user.default_password pour définir comment créer des mots de passe pour les nouveaux utilisateurs créés à partir d’e-mails entrants.

Référence associée

• Contrôle d’accès (renforcement de la sécurité de l’instance)
• Pièces jointes (renforcement de la sécurité de l’instance)
• Sécurité des e-mails (renforcement de la sécurité de l’instance)
• Validation de l’entrée (renforcement de la sécurité de l’instance)
• Communications sécurisées (renforcement de la sécurité de l’instance)
• Bonnes pratiques de sécurité (renforcement de la sécurité de l’instance)
• Liste d’inclusion de sécurité (renforcement de la sécurité de l’instance)