Un confine di sessione è la linea di sicurezza che mantiene separati lo stato, i dati e le autorizzazioni di un utente autenticato dal contesto di un altro utente. Aiuta a garantire che cookie, token, risultati memorizzati nella cache, file temporanei, output degli strumenti e attività del backend rimangano associati alla corretta identità. Nei moderni sistemi SaaS e di IA, il confine può estendersi al browser, all'API gateway, al sandbox e alle app connesse, quindi l'isolamento deve essere applicato a ogni livello.
I confini di sessione sono importanti perché molti attacchi mirano a oltrepassarli. Se un'applicazione mescola i contesti, un attaccante può leggere i dati di un altro utente, riutilizzare un token privilegiato o influenzare un sandbox che dovrebbe essere isolato. Chi difende testa bug di tipo confused deputy, accessi cross-tenant e perdite dal container, e limita l'ambito dei token, ruota le credenziali e verifica ogni richiesta rispetto alla sessione corrente. Confini di sessione solidi sono un controllo fondamentale per prevenire l'esposizione di dati da account a account.