La fiducia della sessione è la certezza che un'interazione in corso appartenga ancora all'utente e al dispositivo previsti. In termini di sicurezza, è la valutazione che la chiamata, l'accesso, la chat o la sessione del browser in corso non siano stati di nascosto dirottati, riprodotti o riassegnati a qualcun altro. Una forte autenticazione crea la sessione, ma la fiducia della sessione riguarda se tale fiducia rimane valida mentre la sessione continua.
Questo è importante perché molti attacchi prendono di mira il divario tra la verifica dell'identità e il controllo continuo. Un attaccante può rubare un token, abusare di una chiamata trasferita, sfruttare un'interfaccia utente confusa o indurre qualcuno ad ammettere il partecipante sbagliato. Le difese aumentano la fiducia della sessione con chiari prompt del dispositivo, riautenticazione per le azioni sensibili, cambiamenti visibili dei partecipanti, token a vita breve e controlli dell'host come le sale d'attesa. In prodotti come chiamate web, trasferimenti e collaborazione in tempo reale, una buona progettazione rende facile capire chi è presente, quale dispositivo è attivo e se un passaggio di consegne è legittimo.