İdeal senin iki site ortak bir alanın alt alanları (örn forum.example.com ve rails.example.com), ya da aynı alanı paylaşan (www.example.com.) sitelerinden biri olacaktır Birincil kimlik doğrulayıcıyı ve bir tanımlama bilgisi (ortak ana etki alanı için .example.com için [example.com'dan önce . bildirimini veya paylaşılan etki alanı için www.example.com numarasını belirtin; böylece her iki uygulama da buna erişebilir);
user ID- bir
salt (rasgele giriş sırasında hesaplanan değer) ve paylaşılan gizli anahtar gizli dize üçlü (user ID + salt + a shared secret key), üzerinde hesaplanan
- bir
SHA-2 signature bo tarafından bilinen siteleri.
her site daha sonra çerez olarak depolanır SHA-2 signature eşleşmelidir bir SHA-2 signature hesaplamak için shared secret key (iki uygulamalar tarafından bilinen tek) kullanın çerezinden user ID ve salt almak mümkün olacaktır.
SHA-2 signatures eşleşmesi varsa, kullanıcının kimliğinin doğrulandığını varsayabilir, aksi halde kullanıcıyı yeniden oturum açmaya zorlar.
Oturum kapatıldığında çerez yok edilmelidir.
küçük baskı oturum gaspına karşı korumak için
, iki site üzerinde yapılan tüm istekleri, (https kullanın.) Bu mümkün değilse SSL üzerinden müşterinin IP adresine dayanarak bir karma şifreli olmalıdır tarayıcı tipi ve versiyonunun (Kullanıcı-aracı) yanı sıra muhtemelen giriş zamanında hesaplanmalı ve aynı zamanda çerezde saklanmalıdır. Her istekte bulunmadan önce müşterinin IP adresi ve kullanıcı aracısı ile yeniden kontrol edilmelidir. Karma temelli yaklaşım, gizlilik yoluyla güvenliktir ve kandırılabilir; ayrıca, bir proxy havuzunun arkasından internete erişen veya TOR'u kullanan bir kullanıcı, farklı bir vekil veya çıkış düğümü (farklı bir IP adresine sahip) her seferinde bir talebi yönlendirdiğinde sisteminiz tarafından başlatılabilir.