セッションタイムアウト
図書館の席を長時間離れると、次の人のために自動で利用が取り消される「自動退室タイマー」のようなものです。
定義 セッションタイムアウトとは、Webサイトやアプリにログインした後、一定時間操作がない場合にセキュリティのため自動的にログアウトさせる仕組みです。離席中に他人にアカウントを勝手に使われるのを防ぎ、サーバーの負荷を減らす役割を持っています。
ネットバンキングはなぜ勝手にログアウトされるの？
カフェでノートパソコンを開いてネットバンキングにログインしたまま、席を立ってトイレに行った場面を想像してみてください。
もし画面が開いたままなら、通りかかった誰かに勝手にお金を振り込まれてしまうかもしれません。こうした事故を防ぐには、席を外している間に自動で鍵をかけてくれる安全装置が必要です。
私たちがWebサイトにIDとパスワードを入力してログインすると、サーバー（情報を提供する側のコンピューター）は一時的な入場チケットのような「セッション」を発行してくれます。このチケットがあるおかげで、ページを移動するたびにパスワードを入力し直さずに済むのです。
しかし、チケットを持ったまま何の操作もせず放置していると、タイマーが動き始めます。一定の時間が経つと、システムが「ユーザーは席を外した」と判断してチケットを破棄します。これこそがセッションタイムアウトです。
放置された入場チケットを狙うハッカーたち
セッションタイムアウトは、画面の覗き見を防ぐためだけのものではありません。
インターネットの世界では、ユーザーとサーバーの通信データをこっそり盗み取るサイバー攻撃が存在します。もしブラウザに残されたセッションチケットの有効期限が無制限だったら、ハッカーはパスワードを知らなくても、コピーしたチケットだけでアカウントに侵入できてしまいます。
これを「セッションハイジャック（乗っ取り）」と呼びます。セッションタイムアウトはチケットの有効期限を短く制限することで、万が一チケット情報が外部に漏れてしまっても、すぐに使えなくするのです。
そのため、ハッカーが盗んだチケットで悪事を働こうとした頃には、すでに無効化されたただの紙くずになっています。
もう少し詳しく：2種類のタイムアウト時計
実際のシステムでは、主に2つの方式のタイムアウト時計が動いています。
1つ目は、私たちが日常的によく目にする「アイドルタイムアウト（無操作タイムアウト）」です。マウスを動かしたりページを更新したりするたびに、タイマーが最初からリセットされます。操作を続けている限りログアウトされることはありません。
2つ目は、どれだけ熱心に操作を続けていても、一定時間が経過すると強制的に再ログインを求める「絶対タイムアウト（強制ログアウト）」です。セキュリティが極めて重要な金融システムや社内ネットワークでは、操作中であっても数時間ごとに接続を切断します。
また、ログイン中の膨大なユーザー情報を記憶し続けてサーバーのメモリが圧迫されるのを防ぎ、システム全体の軽快な動作を維持する役割も担っています。
🤔 よくある誤解
セッションタイムアウトはアプリやサイトのエラーで落ちているだけだ。
エラーではなく、ユーザーの個人情報や資産を守るために厳密に計算されて作動する正常なセキュリティ機能です。
🧺 日常で出会う場面
セッションタイムアウトとは、離席時などの不正利用を防ぐため、一定時間操作がない場合に自動で接続を切断するセキュリティタイマーです。