¿Qué es una sesión?

Cada sesión está vinculada a un ID de sesión único creado por el servidor.
Ese ID es lo que permite al sitio web enlazar todas sus acciones
en una única visita continua, en lugar de tratar cada clic como si
fuera un desconocido totalmente nuevo.

¿Qué es una sesión en la web?

Una sesión es un enlace de corta duración entre dos dispositivos que intercambian datos,
normalmente el navegador de un usuario y un servidor web. Comienza en el momento en que un
usuario abre una aplicación o inicia sesión, y termina cuando cierra la sesión,
cierra la pestaña o permanece inactivo más allá del tiempo de espera de la sesión.

Mientras la sesión está activa, el servidor utiliza un ID de sesión para
saber quién es el usuario y qué está haciendo. Ese ID se almacena
en una cookie dentro del navegador o en la propia URL. Sin él,
el servidor olvidaría al usuario en el instante en que hiciera clic
en el siguiente enlace.

¿Cómo funciona una sesión?

Una sesión funciona en cuatro pasos sencillos. Primero, el usuario abre un sitio web
o una aplicación y el servidor crea una nueva sesión junto con un ID
de sesión único. Segundo, el servidor devuelve ese ID al navegador,
normalmente dentro de una pequeña cookie. Tercero, el navegador adjunta el
ID de sesión a cada solicitud posterior, de modo que el servidor siempre sabe
quién está al otro lado. Cuarto, cuando el usuario cierra la sesión o
esta caduca, el servidor destruye los datos de la sesión y el ID
deja de servir.

Todo este proceso ocurre en milisegundos y es invisible para el
usuario. Es lo que hace que las compras en línea, la banca y cualquier
experiencia con sesión iniciada resulten fluidas en lugar de pedir
una contraseña en cada página.

Tipos de sesiones

Existe más de un tipo de sesión en internet, y la palabra
se utiliza de forma algo distinta según la capa en la que se sitúe.

• Sesiones web. Creadas por los servidores web para seguir a un usuario a través
  de las páginas de un mismo sitio web. Es el significado más habitual
  cuando alguien pregunta qué es una sesión.
• Sesiones de red. Una conexión entre dos dispositivos de una red,
  descrita a menudo en la capa de sesión del modelo OSI. Las conexiones TCP
  y las sesiones TLS pertenecen a esta categoría.
• Sesiones de inicio de sesión. Una sesión que se abre cuando un usuario accede a una
  cuenta, a menudo protegida con tokens y autenticación de dos factores.
• Sesiones de proxy. Una conexión enrutada a través de un servidor proxy.
  Algunos proxies utilizan sesiones persistentes, en las que se mantiene la misma IP durante
  un periodo determinado, y otros rotan la IP en cada solicitud.
• Sesiones de aplicación. Se utilizan dentro de las aplicaciones de escritorio o móviles para
  recordar el estado entre acciones, como borradores, ajustes o
  documentos abiertos.

Todas comparten la misma idea: un enlace temporal e identificable
entre dos partes que existe mientras sea necesario.

¿Para qué se utiliza una sesión web?

Se utiliza para que los sistemas de internet puedan seguir las acciones de los usuarios. Ayuda a almacenar información como el estado de inicio de sesión, los artículos del carrito o cualquier otra configuración. Sin ella, el sitio web no recordaría nada entre clics. Permite gestionar de forma fluida la interacción del usuario en internet, sobre todo cuando se utilizan varias páginas.

Cookie vs. sesión: diferencia

Las cookies y las sesiones se confunden a menudo porque funcionan juntas,
pero residen en lugares distintos. Una cookie es un pequeño archivo
almacenado en el navegador, en el dispositivo del usuario. Una sesión
son datos almacenados en el servidor, y el navegador solo conserva
el ID de sesión que apunta a ellos.

Las cookies pueden sobrevivir al cierre del navegador y configurarse
para durar días o años. Las sesiones suelen ser breves y terminan cuando el
usuario cierra la sesión, cierra la pestaña o alcanza el tiempo de espera por
inactividad. En la mayoría de los sitios web modernos ambas se utilizan a la vez:
una cookie de sesión transporta el ID de sesión, mientras que los datos reales
del usuario permanecen a salvo en el servidor.

Seguridad y secuestro de sesiones

Como el ID de sesión es la llave que demuestra quién es usted, cualquiera
que lo robe puede hacerse pasar por usted. Este ataque se denomina secuestro
de sesión y suele producirse en redes no seguras o mediante
malware que lee las cookies del navegador.

Las defensas más habituales son el cifrado HTTPS, que oculta el
ID de sesión mientras viaja por internet, y los tiempos de espera
de sesión cortos, que limitan durante cuánto tiempo resulta útil un ID robado. Muchos sitios
vinculan además la sesión a la dirección IP del usuario o a la huella de su dispositivo,
de modo que una cookie robada y utilizada desde otra ubicación se rechaza. Cerrar la
sesión al terminar, evitar las redes Wi-Fi públicas para las cuentas sensibles
y activar la autenticación de dos factores eliminan la mayor parte del riesgo
del lado del usuario.

Ventajas y desventajas

Son muy seguras porque almacenan los datos en un servidor. Resultan idóneas para guardar información temporal. Sin embargo, consumen memoria del servidor y caducan muy rápido. Aun así, las sesiones son bastante importantes para las aplicaciones web que gestionan múltiples solicitudes, sobre todo con las tecnologías más recientes.

Ejemplos

Sesiones de inicio de sesión, de carrito de la compra y de panel de administración

Estos ejemplos utilizan ID de sesión para seguir las acciones a través de las páginas web y, al mismo tiempo, mantener conectados a los usuarios que han iniciado sesión.

Sesiones y servidores proxy

Cuando utiliza un proxy, la sesión no deja de existir, simplemente
da un salto más. La solicitud va del navegador al proxy,
y solo entonces al servidor de destino. El sitio web sigue creando un
ID de sesión, pero ve la dirección IP del proxy en lugar de la suya.

Esto importa en dos situaciones. Con las sesiones persistentes, el proxy
mantiene la misma IP asignada a su sesión durante minutos u horas,
que es lo que esperan las cuentas de redes sociales, los procesos de compra
del comercio electrónico y los accesos a la banca. Con las sesiones rotativas, la IP cambia en
cada solicitud, lo que resulta útil para el scraping, la verificación de anuncios y
cualquier tarea en la que cada solicitud deba parecer independiente. Elegir
entre ambas es una de las decisiones más habituales al escoger
un plan de proxies residenciales o móviles.

Preguntas frecuentes

¿Qué significa sesión en palabras sencillas?

Una sesión es un periodo breve durante el cual un usuario y un sitio web
permanecen conectados, normalmente desde el inicio de sesión hasta su cierre. El
sitio web la utiliza para recordar al usuario entre clic y clic.

¿Qué es una sesión en términos informáticos?

En informática, una sesión es cualquier intercambio temporal de datos entre
dos sistemas, como un usuario y un servidor, con un inicio y un final
claros. Los accesos web, las videollamadas y las conexiones a bases de datos
son todos sesiones.

¿Cuál es la diferencia entre una sesión y un ID de sesión?

La sesión es la conexión en sí y los datos almacenados en el
servidor. El ID de sesión es solo la cadena corta que identifica
esa conexión para que el servidor sepa qué usuario envía cada
solicitud.

¿Cuánto dura una sesión?

La mayoría de las sesiones web duran desde unos minutos hasta unas horas,
según la configuración de tiempo de espera del sitio web. Los sitios de banca utilizan
sesiones cortas de 5 a 15 minutos, mientras que las redes sociales pueden mantener
una sesión abierta durante semanas.

¿Qué es el tiempo de espera de una sesión?

El tiempo de espera de una sesión es la inactividad máxima permitida
antes de que el servidor cierre la sesión automáticamente. Protege las
cuentas cuando un usuario olvida cerrar la sesión.

¿Qué es una sesión persistente?

Una sesión persistente mantiene al usuario conectado al mismo servidor o
a la misma IP de proxy durante toda la sesión. Se utiliza cuando la
aplicación necesita continuidad, por ejemplo al finalizar una compra o en un
inicio de sesión de varios pasos.

¿Puede funcionar una sesión sin cookies?

Sí. El ID de sesión también puede transmitirse dentro de la URL o en una
cabecera de la solicitud. Las cookies son simplemente la forma más cómoda
y habitual de almacenarlo.