Oturum, İngilizcede Session olarak adlandırılan ve bir kullanıcının web sitesi ya da uygulama ile belirli bir süre boyunca kurduğu etkileşim sürecini ifade eden teknik bir kavramdır. Web geliştirme bağlamında oturum, kullanıcının sayfalar arasında gezinirken kimliğinin, tercihinin veya geçici işlem bilgilerinin korunmasına yardımcı olur. Örneğin bir kullanıcı e-ticaret sitesine giriş yaptığında, sepetine ürün eklediğinde veya üyelik alanında işlem yaptığında bu bilgilerin sayfalar arasında devam etmesi oturum yönetimi sayesinde sağlanır.
Oturum kavramı çoğu zaman çerezlerle karıştırılır. Çerezler, kullanıcının tarayıcısında saklanan küçük veri parçalarıdır. Oturum verileri ise çoğu sistemde sunucu tarafında tutulur ve kullanıcının tarayıcısına bu oturumu temsil eden benzersiz bir Session ID gönderilir. Bu Session ID çoğunlukla bir çerez içinde saklanır ve tarayıcı her istekte bu kimliği sunucuya iletir. Sunucu da bu kimlik üzerinden ilgili kullanıcının oturum bilgilerine ulaşır.
Session ID, oturum yönetiminin en kritik parçalarından biridir. Kullanıcının tüm bilgileri tarayıcıda taşınmak yerine, genellikle sunucuda güvenli şekilde saklanan oturum verileri bu kimlik aracılığıyla eşleştirilir. Bunu bir anahtar gibi düşünmek mümkündür; kullanıcı tarayıcı üzerinden Session ID’yi sunucuya iletir, sunucu da bu kimlik sayesinde ilgili oturumu tanır. Bu nedenle Session ID’nin güvenli şekilde oluşturulması, korunması ve üçüncü kişiler tarafından ele geçirilmemesi gerekir.
Oturumlar, kullanıcı deneyimini önemli ölçüde kolaylaştırır. Örneğin bir kullanıcı e-ticaret sitesinde bir ayakkabıyı sepete ekledikten sonra kategori sayfalarına veya ana sayfaya dönebilir. Oturum veya sepet verisi doğru şekilde yönetiliyorsa, kullanıcı site içinde gezinmeye devam ederken ürün sepette kalır. Benzer şekilde kullanıcı giriş yaptıktan sonra her sayfada yeniden kullanıcı adı ve şifre girmek zorunda kalmaz. Bu yapı, hem kullanıcı deneyimi hem de işlem sürekliliği açısından önemlidir.
Oturumun ne zaman sona ereceği kullanılan sisteme ve güvenlik politikasına göre değişebilir. Bazı oturumlar tarayıcı kapatıldığında sona erebilirken bazıları belirli bir süre etkinlik olmazsa otomatik olarak sonlandırılır. Kullanıcının çıkış yapması, oturum süresinin dolması, sunucu tarafında oturumun temizlenmesi veya güvenlik nedeniyle oturumun geçersiz kılınması da oturumu bitirebilir. Bu nedenle “tarayıcı kapanınca oturum kesin olarak sona erer” ifadesi her sistem için doğru değildir.
Oturum değişkenleri kullanıcı adı, kullanıcı ID’si, yetki seviyesi, sepet bilgisi, tercih edilen dil veya geçici işlem bilgileri gibi verileri içerebilir. Ancak güvenlik açısından şifre gibi hassas bilgiler oturum içinde açık şekilde saklanmamalıdır. Kişisel veriler ve kimlik doğrulama bilgileri mümkün olduğunca sınırlı tutulmalı, güvenli şekilde şifrelenmeli veya yalnızca gerekli olan minimum veriyle yönetilmelidir. Oturum güvenliği, web uygulamalarının en önemli güvenlik başlıklarından biridir.
Oturum yönetiminde güvenlik hataları ciddi sonuçlar doğurabilir. Session hijacking, yani oturum ele geçirme saldırılarında kötü niyetli kişiler geçerli bir Session ID’ye ulaşarak kullanıcı gibi işlem yapmaya çalışabilir. Bu riski azaltmak için güvenli çerez ayarları, HTTPS kullanımı, oturum süresi sınırları, çıkış sonrası oturum geçersizleştirme ve şüpheli aktivitelerde yeniden kimlik doğrulama gibi önlemler uygulanmalıdır. Ayrıca oturum kimliklerinin tahmin edilemez ve güçlü şekilde üretilmesi gerekir.
Kısacası oturum, kullanıcı ile web sitesi arasındaki geçici etkileşim sürecinin yönetilmesini sağlayan temel yapılardan biridir. Kullanıcının giriş durumunu korumak, sepet bilgisini saklamak, sayfalar arasında işlem sürekliliği sağlamak ve kişiselleştirilmiş deneyim sunmak için kullanılır. Doğru yapılandırılmış bir oturum sistemi, kullanıcı deneyimini iyileştirirken güvenlik ve veri koruma açısından da dikkatli şekilde tasarlanmalıdır.
