Una sessione di posta è lo stato autenticato del browser che mantiene un utente connesso alla webmail. Di solito viene mantenuta con cookie, token o altri dati di sessione, così la casella di posta resta accessibile senza reinserire le credenziali a ogni richiesta. In pratica, la sessione è il contenitore di fiducia attorno alle azioni della posta in arrivo, come leggere i messaggi, inviare email, modificare le regole o gestire i contatti.
Le sessioni di posta sono importanti perché gli aggressori spesso prendono di mira la sessione invece della password. Se un aggressore ruba, riutilizza o abusa dello stato di sessione, può agire come la vittima all'interno dell'interfaccia di posta, a volte senza attivare un nuovo prompt di accesso. Cross-site scripting, pagine di phishing, furto di token e intercettazione basata su proxy sono modi comuni per attaccarla. I difensori proteggono le sessioni di posta con durate brevi, impostazioni sicure dei cookie, MFA, controlli su dispositivo e IP e monitoraggio di attività insolite della casella di posta o di modifiche alle regole.