Een sessie blijft open op een gedeelde computer

Drie dingen worden vaak door elkaar gehaald. De sessie is de herkenning van de ingelogde gebruiker op de server. Het cookie is het label dat de browser meestuurt. De pagina in de browsergeschiedenis of cache is een kopie van wat eerder getoond werd.

Na afmelden moeten alle drie kloppen: de server beëindigt de sessie, het cookie wordt gewist of ongeldig, en een privépagina is niet meer opvraagbaar met de terugknop of een directe link. Gaat één van de drie fout, dan blijft er iets bereikbaar. De MDN-pagina over webbeveiliging noemt als basisregels onder meer het beperken van de toegang tot cookies, de kenmerken SameSite, Secure en HttpOnly en het zo kort mogelijk houden van de levensduur van cookies die ingelogde gebruikers vertegenwoordigen (MDN over webbeveiliging). De bron zegt niet hoe je logout test; het is een redactioneel uitgangspunt dat je test niet beperkt blijft tot 'de knop werkt'.

Gebruik een testaccount, nooit een echt klantaccount, en één browser met een schone sessie. Voer de stappen in deze volgorde uit en noteer per stap het waargenomen gedrag.

1. Inloggen en pagina openen. Open een privépagina, zoals een bestelgeschiedenis of profiel, en laat die in een tabblad staan.
2. Afmelden via de knop. Gebruik de logout van de site zelf, niet het sluiten van het venster.
3. Terugknop. Ga terug met de browserknop. Verwacht: geen privégegevens, maar een inlogpagina of een lege staat.
4. Directe link. Plak de URL van de privépagina in een nieuw tabblad. Verwacht: omleiding naar inloggen.
5. Tweede tabblad. Had je de site in twee tabbladen open, ververs dan het tweede. Verwacht: afgemeld, niet ingelogd.
6. Cookies nakijken. Bekijk in de ontwikkelaarstools van de browser het sessiecookie voor en na afmelden. Verwacht: verwijderd of vervangen, niet ongewijzigd.

Een test met het scherm bewijst niet dat de server de sessie echt heeft beëindigd. Laat je ontwikkelaar daarom ook nagaan of de oude sessiesleutel na afmelden nog wordt geaccepteerd.

Gebruik de tabel om je waarnemingen te koppelen aan een waarschijnlijke oorzaak. Het zijn richtingen om te onderzoeken, geen bewezen diagnoses.

Noteer ook welke browser en welk apparaat je gebruikte. Gedrag kan per browser verschillen, dus een test in één browser dekt de andere niet.

Er is geen vaste duur die voor elke site past. Je kiest op basis van wat een open sessie kan tonen. Toont ze enkel een nieuwsbriefvoorkeur, dan weegt dat minder dan bestellingen, facturen of adresgegevens. Bespreek met je ontwikkelaar een duidelijke inactiviteitslimiet en een maximale sessieduur, en laat vastleggen wat er gebeurt bij verval: een melding en een omleiding naar inloggen.

Overweeg bij gevoelige gegevens een extra bevestiging voor acties zoals het wijzigen van een adres of wachtwoord. Een extra verificatiestap helpt als iemand toch toegang kreeg. Google legt in de eigen accounthulp bijvoorbeeld uit dat tweestapsverificatie een extra beveiligingslaag toevoegt voor het geval een wachtwoord wordt gestolen (hulp over tweestapsverificatie). Dat gaat over Google-accounts; of en hoe je dit in je eigen site inbouwt, hangt af van je platform en de keuzes van je ontwikkelaar.

Een fictieve webshop heeft een klantenzone met bestelgeschiedenis. Een medewerker test de procedure op een gedeelde winkelcomputer.

Invoer: een testaccount, browser A, een privépagina met een bestelgeschiedenis in twee tabbladen, afmelden via de logoutknop.

Verwachte controles: na afmelden toont de terugknop geen bestellingen maar een inlogscherm; de directe URL leidt naar inloggen; het tweede tabblad toont na verversen niet de bestellingen; het sessiecookie is verwijderd of vervangen; na de afgesproken inactiviteit verloopt een nieuwe testsessie met een melding.

Is één controle niet gehaald, dan schrijf je voor de ontwikkelaar een korte melding: stap, verwacht gedrag, waargenomen gedrag, browser, tijdstip. Geen enkele uitkomst in dit voorbeeld is een meting; het is een invoerlijst voor je eigen test.

Herhaal na elke wijziging aan login, logout of sessies exact dezelfde zes stappen en vergelijk met je eerdere notities. Test ook in een tweede browser en op een mobiel apparaat. Beperk je niet tot het ene scenario dat je net herstelde.

Voor medewerkers die op gedeelde computers werken, helpen eenvoudige afspraken: altijd afmelden via de knop, het venster niet zomaar sluiten, en indien beschikbaar een privévenster gebruiken, dat na sluiten in de regel geen lokale sessie- en cachegegevens bewaart. Controleer wel dat het venster echt gesloten is, want sessiegegevens of recente geschiedenis kunnen anders zichtbaar blijven. Voor klanten kan een duidelijke melding bij de logout ('je bent afgemeld') helpen.

Wil je ook de publiek zichtbare signalen van je website bekijken, ga dan naar Marketing Scan. Een publieke scan ziet wat een bezoeker kan zien en bewijst niet hoe je sessies of cookies intern zijn ingesteld.