Configurando o tempo de vida do cookie de sessão no PHP

Introdução

O session.cookie_lifetime no PHP define o tempo de vida do cookie que armazena o ID da sessão no navegador do usuário. Por padrão, esse valor é 0, o que significa que o cookie será removido assim que o usuário fechar o navegador.

Para aplicações que necessitam manter a sessão do usuário ativa mesmo após o fechamento do navegador, podemos configurar um tempo de vida maior para o cookie de sessão.

Como definir o session.cookie_lifetime no código PHP

Podemos definir o tempo de vida do cookie diretamente no código antes de iniciar a sessão:

session_set_cookie_params(3600);
session_start();

Explicação do código:

• session_set_cookie_params(3600): Define a duração do cookie de sessão para 1 hora (3600 segundos).
• session_start(): Inicia a sessão com a nova configuração.

Configurando o session.cookie_lifetime no php.ini

Caso queira configurar a duração da sessão de forma permanente, edite o arquivo php.ini:

session.cookie_lifetime = 3600

Essa configuração garante que todas as sessões tenham um tempo de expiração de 1 hora, independentemente do código da aplicação.

Como redefinir o tempo de expiração do cookie dinamicamente

Se precisar modificar o tempo de vida do cookie com base em condições específicas, use session_set_cookie_params() antes de session_start():

$tempo_vida = (isset($_POST['lembrar'])) ? 86400 : 3600;
session_set_cookie_params($tempo_vida);
session_start();

Nesse exemplo, caso o usuário tenha marcado uma opção de "lembrar login", a sessão terá duração de 24 horas (86400 segundos), caso contrário, durará 1 hora.

Removendo o cookie de sessão manualmente

Se for necessário forçar a remoção do cookie de sessão, utilize:

setcookie(session_name(), '', time() - 3600, '/');

Isso define um tempo de expiração no passado, removendo o cookie imediatamente.

Conclusão

Definir corretamente o session.cookie_lifetime é essencial para controlar o tempo de vida das sessões em PHP. Para garantir um bom equilíbrio entre segurança e experiência do usuário, escolha um tempo adequado e sempre use HTTPS para evitar a interceptação de cookies.

Qual a importância de configurar corretamente o tempo de vida do cookie de sessão?

A configuração do tempo de vida do cookie de sessão no PHP impacta diretamente na experiência e na segurança do usuário. Se o tempo de expiração for muito curto, o usuário pode ser desconectado inesperadamente, o que pode ser frustrante em aplicações como sistemas bancários ou lojas virtuais.

Por outro lado, manter sessões por períodos muito longos pode representar riscos, como o roubo de sessão (Session Hijacking). Por isso, é sempre importante avaliar o tipo de aplicação para definir a configuração ideal. Aplicações sensíveis podem combinar a expiração automática com mecanismos de renovação segura da sessão, garantindo um equilíbrio entre conveniência e proteção.

Além disso, é recomendável testar diferentes tempos de vida do cookie em ambientes de produção para entender o impacto na retenção e na usabilidade. Ajustes finos nessa configuração podem melhorar a conversão de usuários e reduzir riscos de segurança.

Algumas aplicações:

• Manter o usuário autenticado mesmo após fechar o navegador.
• Garantir que sessões sejam encerradas automaticamente após um período definido.
• Evitar desconexões inesperadas em sistemas críticos.
• Aumentar a segurança ao limitar o tempo de exposição de sessões abertas.

Dicas para quem está começando

• Use session_set_cookie_params() antes de session_start() para definir o tempo de vida do cookie.
• Evite definir tempos muito longos para não comprometer a segurança.
• Se precisar que a sessão expire após o fechamento do navegador, mantenha session.cookie_lifetime = 0.
• Em aplicações que lidam com dados sensíveis, combine sessões curtas com revalidação de identidade.
• Testar diferentes tempos de expiração pode ajudar a entender o impacto na experiência do usuário.

Compartilhe este tutorial