¿Qué mitigaciones adicionales son necesarias debido a "Continuar donde lo dejé"?

Si su sitio es tan sensible, establezca una duración máxima de las cookies de 15 o 30 minutos, en lugar de la duración de la sesión del navegador. Y siempre es un comprador, tenga cuidado si está accediendo a su sitio desde una ubicación pública y no se desconecta.

Esto es lo que veo en cualquier sitio financiero que uso, desde bancos hasta tarjetas de crédito o cualquier otra cosa.

Edit: Supongo que eso no es del todo cierto. En algunos sitios, le permiten "registrar su computadora" ... esencialmente, le permiten omitir parte de la verificación de identidad una vez (o, más bien, realizar verificaciones de identidad adicionales antes) que la haya pasado una vez desde ese terminal. Es posible que pueda usar este método para permitir cookies de mayor duración en un terminal registrado, si el usuario así lo decide. Pero cuando se trata de aplicaciones financieras, lo mejor que puedes hacer es dar al usuario la menor cantidad de cable posible con el que colgarse. Otros tipos de aplicaciones son más tolerantes.

Una combinación de correctamente utilizado OnBeforeUnload y las cookies de corta duración pueden ayudarlo a lograr lo que desea.

La idea básica es enviar una solicitud HTTP cuando OnBeforeUnload se activa, y el servidor debe responder invalidando la cookie. De esa manera, no estará limitado por las restricciones de cookies de HttpOnly. Combine eso con las cookies de corta duración que se actualizan con cada acción realizada por el usuario (cada vez que un usuario realiza una acción, envíe una solicitud HTTP que establecerá el tiempo de la cookie en, por ejemplo, 5 minutos). Cualquier acción en 5 minutos, invalida la sesión en el servidor .

De esa manera, cuando el usuario cierre su navegador, la cookie se invalidará y se eliminará. Si sucede algo incorrecto y el usuario logra volver a abrir su navegador y "Continuar [s] donde [él] lo dejó", la sesión caducará por mucho tiempo en el servidor.

He trabajado en FS antes y diría que se trata de un comprador, tenga cuidado. Si está hablando de banca comercial o algo similar (lo que supongo que es si la expiración de una sesión de 15 minutos es demasiado larga) obtenga una redacción en los contratos sobre el uso del sistema solo desde sistemas de clientes de confianza. Si se trata de una banca minorista, debería estar en la educación del usuario, nunca iniciar sesión desde un sistema que no sea de confianza y utilizar siempre explícitamente la función de cierre de sesión de las aplicaciones.

El escenario de riesgo que está viendo, el inicio de sesión del usuario desde un sistema que no es de confianza en una ubicación que no es de confianza (por ejemplo, Internet Cafe) tiene una serie de riesgos tan malos o peores que una función del navegador que almacena cookies de sesión. Por ejemplo, probablemente un riesgo en ese entorno es el malware en la PC, en cuyo caso es probable que el atacante tome la cookie, bloquee a los usuarios para que no accedan al servidor y luego mantengan viva la sesión ...

Otro riesgo en ese entorno es el malware para el registro de pulsaciones de teclas que, a menos que esté utilizando 2-factor, prácticamente invalida la seguridad del sistema (el atacante tiene credenciales).