Gestion de sessions à base de cookies

Avertissement : Certains navigateurs ont des fonctions qui préservent les cookies de session dans les sessions de navigateur. Par exemple, l'option Reprendre où vous avez arrêté de Google Chrome. Bien que ces configurations ne soient pas des configurations par défaut et qu'elles requièrent des utilisateurs pour les activer explicitement, elles peuvent créer des problèmes de confidentialité lorsque le navigateur est utilisé dans un environnement public tel qu'un cybercafé.

Si le navigateur est configuré pour ne pas détruire les cookies de session lorsqu'il est fermé, les cookies qui sont utilisés pour l'identification et l'authentification utilisateur restent actifs après le redémarrage du navigateur. Dans le cas d'un utilisateur enregistré, l'utilisateur reste connecté. Dans le cas d'un utilisateur invité, toutes les ressources qui sont associées à l'utilisateur, telles que les paniers en attente, les commandes ou les adresses, restent associées à la session dans le navigateur. Ce comportement est causé par le navigateur qui ne supprime pas les cookies de session, et il affecte tous les sites qui sont pas consultés depuis le navigateur de la même façon.

Dans la configuration par défaut pour HCL Commerce, lorsqu'un utilisateur s'enregistre ou se connecte, les ressources qui sont associées à l'utilisateur invité avant la connexion sont transférées au compte utilisateur enregistré. Ces ressources incluent les adresses, les commandes et les articles présélectionnés. Ce scénario peut être problématique si le navigateur est partagé et s'il n'est pas configuré pour détruire les cookies de session à la fermeture. Par exemple, un utilisateur invité peut passer une commande et fermer le navigateur. Le jour suivant, une autre personne peut ouvrir le même navigateur et se connecter. Etant donné que la session de l'utilisateur invité reste active, ses ressources, y compris la commande passée et les adresses utilisées, sont associées à l'utilisateur enregistré qui s'est connecté.

Les options suivantes permettent d'éviter ce scénario :

1. Personnalisez la commande MigrateUserEntriesCmd, qui est utilisée pour faire migrer les adresses, les commandes et les articles présélectionnés de la session d'utilisateur invité en cours vers l'utilisateur qui se connecte. Vous pouvez personnaliser la commande afin que certaines ressources ne soient pas copiées en remplaçant la méthode par une implémentation vide.
2. Après qu'un utilisateur invité a passé une commande, émettez automatiquement la commande de déconnexion pour réinitialiser la session de l'utilisateur invité en session d'utilisateur générique.

Les cookies de session préservés ne constituent pas la même préoccupation pour les utilisateurs enregistrés car ces clients peuvent utiliser le lien de déconnexion pour effacer les informations relatives à leur session.

Les navigateurs s'exécutant sur des périphériques mobiles ou personnels, tels que des téléphones ou des tablettes, présentent le même problème que les clients qui utilisent un navigateur dans un environnement public. Ces types de périphérique ne sont généralement pas partagés et ne présentent donc pas les mêmes problèmes de confidentialité. Toutefois, les clients qui achètent sur des périphériques mobiles ou personnels ne ferment généralement pas leur application de navigateur lorsqu'ils ont terminé de consulter un site, les cookies de session ne sont donc pas supprimés. Les options fournies pour protéger la confidentialité des clients dans un environnement public s'appliquent également aux navigateurs exécutés sur des périphériques mobiles ou personnels.