Waarom Je Na Een Uur Wordt Uitgelogd

Als je midden in een werksessie zonder waarschuwing bent uitgelogd, is de verklaring simpel en met opzet zo gebouwd: het sessietoken dat wordt uitgegeven wanneer je inlogt, is maar precies één uur geldig, punt uit, en niets in het systeem verlengt dat stilletjes terwijl je actief bent. Dit artikel behandelt precies wat dat token is, waarom een uur is gekozen als harde grens in plaats van een glijdende, en het aparte, strenger begrensde token dat wordt gebruikt tijdens het korte venster van een login met tweestapsverificatie.

Wat het Sessietoken Precies Is

Succesvol inloggen geeft een JSON Web Token uit — een ondertekend, zelfstandig bewijsstuk met je gebruikers-ID en e-mailadres, cryptografisch ondertekend met een geheim dat op de server wordt bewaard, zodat het niet vervalst of gewijzigd kan worden door de client die het bezit. Dat token is wat je browser meestuurt bij elk volgend verzoek om te bewijzen wie je bent; de server houdt geen aparte lijst van "ingelogde" sessies bij om tegen te controleren — hij controleert simpelweg de handtekening van het token en leest bij elk verzoek de vervalclaim. Het token zelf draagt een expiresIn-claim die bij het ondertekenen is ingesteld op precies één uur vanaf het moment van uitgifte.

Er Is Geen Refresh-Token op de Achtergrond

Sommige systemen combineren een kortlevend toegangstoken met een langer levend refresh-token dat op de achtergrond stilletjes wordt ingewisseld voor een nieuw toegangstoken, zodat een gebruiker nooit merkt dat zijn oorspronkelijke token verloopt. Dat patroon bestaat hier niet. Er is precies één token, het is één uur geldig vanaf uitgifte, en wanneer het verloopt wijst de authenticatiemiddleware het verzoek af met een specifieke melding "Token verlopen. Log opnieuw in." in plaats van stilletjes een vervanging te maken. Wat je ook aan het doen was, wordt onderbroken, en de oplossing is steeds hetzelfde: opnieuw inloggen, wat een vers token met een verse klok van één uur uitgeeft.

Waarom de Vervaldatum een Harde Muur Is, Geen Glijdend Venster

Omdat de vervaldatum een tijdstempel is die op het moment van inloggen in het token wordt ingebakken, wordt deze niet gereset alleen omdat je het product bent blijven gebruiken. Negentig minuten aaneengesloten, actief werk eindigt nog steeds in een gedwongen uitlog dertig minuten nadat je bent gestopt — het token weet of geeft er niet om dat je nog steeds bezig bent met klikken; het weet alleen wanneer het is aangemaakt. Dit is een aanmerkelijk strikter model dan een "glijdende" sessie die verlengt bij elk verzoek dat je doet, en het betekent dat het uur-cijfer echt neerkomt op "je blijft nooit langer dan een uur ingelogd zonder opnieuw te authenticeren", niet op "je wordt na een uur inactiviteit uitgelogd".

De Login-Flow met Tweestapsverificatie Gebruikt Een Apart, Zwakker Token — Met Opzet

Als je tweestapsverificatie hebt ingeschakeld, geeft een correct wachtwoord alleen je nog geen volledig sessietoken. Het geeft je een kortlevend tijdelijk token — vijf minuten geldig, geen uur — dat een purpose-claim draagt die het markeert als bruikbaar voor precies één ding: het indienen van je zescijferige code of een back-upcode bij het verificatie-eindpunt voor de tweede factor. De authenticatiemiddleware die elke andere beveiligde route bewaakt, controleert expliciet op die purpose-claim en wijst elk token dat er een draagt af, ook al is het ondertekend met hetzelfde servergeheim en zou het anders gewoon de handtekeningverificatie doorstaan. Die controle bestaat specifiek zodat een correct wachtwoord alleen — zonder de tweede factor — nooit kan worden ingewisseld voor echte accounttoegang, zelfs niet door iemand die het tijdelijke token onderweg onderschept of heeft uitgevonden hoe JWT's werken. Pas nadat de tweede factor is geverifieerd, geeft de server een echt sessietoken van één uur uit, identiek in vorm en levensduur aan het token dat wordt uitgegeven bij een login zonder tweestapsverificatie.

Wat Dit in de Praktijk Betekent

Het praktische gevolg is dat er geen instelling is om je sessie te verlengen, geen "onthoud mij"-optie die een token langer levend houdt, en geen achtergrondvernieuwing die stilletjes extra tijd koopt. Als je aan iets werkt dat waarschijnlijk langer dan een uur duurt — een lange CSV-importbeoordeling, een grote batch facturen invullen — is het de moeite waard om de occasionele gedwongen herlogin te verwachten als normaal onderdeel van de workflow in plaats van een fout, en je werk incrementeel op te slaan in plaats van uit te gaan van één ononderbroken sessie van meer dan een uur.