חשבונות, זהויות וחיבורים

משתמש אחד, כמה זהויות מאומתות

למשתמש SwiftTool עשויות להיות סיסמה, זהות Google וזהות Telegram. אסימוני הספק אינם משמשים כסשן האפליקציה; לאחר אימות הספק SwiftTool יוצרת סשן אטום ועצמאי שניתן לבטל.

תוקף החיבור

חלון חוסר הפעילות המוגדר כברירת מחדל הוא 30 יום, ובנוסף חל תוקף מוחלט לסשן. אירועי אבטחה, שינוי מצב החשבון והתנתקות מפורשת עשויים לסיים אותו מוקדם יותר.

• אסימוני סשן נשמרים בעוגיות Secure, ‏HttpOnly ו־SameSite בסביבת הייצור.
• רק hash מסוג SHA-256 של האסימון נשמר ב־MariaDB.
• חיבור שגילו פחות מ־24 שעות אינו יכול לנתק מכשירים ישנים.

ניתוק Google

חייבת להיות סיסמה לפני שניתן לנתק את Google, והסשן הפעיל חייב להיות בן 24 שעות לפחות. כללים אלה מונעים נעילה מקרית מחוץ לחשבון ומצמצמים את הנזק האפשרי מסשן חדש שנגנב.