Il controllo della sessione vincolato al dispositivo è un modello di sicurezza che collega un cookie o token di sessione attiva a un dispositivo specifico. Invece di considerare una sessione valida ovunque, il servizio verifica che lo stesso dispositivo presenti nuovamente la sessione, spesso usando una prova crittografica, una chiave del dispositivo o segnali hardware attendibili. Se il cookie viene copiato su un'altra macchina, il tentativo di riutilizzo dovrebbe fallire.
Questo è importante perché le sessioni rubate sono un modo comune con cui gli attaccanti aggirano le password e persino l'MFA. Gli infostealer, i kit di phishing e il malware del browser possono sottrarre materiale di sessione riutilizzabile, quindi riprodurlo da un dispositivo diverso. Il vincolo al dispositivo riduce il valore di questo furto e offre ai difensori un segnale più forte per rilevare gli abusi. In pratica, i servizi possono richiedere una nuova autenticazione quando il dispositivo cambia, revocare le sessioni in caso di eventi a rischio o combinare il vincolo con durate brevi e verifica continua. Non è perfetto, ma rende il furto di sessioni molto meno utile.