クライアントサイドのセッションではステートの維持にクッキーと暗号化の技術が使用され、サーバ上に保存されるデータはそれほど大きくない。動的ウェブページを提供する際、サーバは現在のステートデータをクッキー形式でクライアント (ウェブブラウザ) に送信する。クライアントはクッキーをメモリまたはディスクに保存する。その後の各リクエストでは、クライアントはクッキーをサーバに送り返し、サーバはそのクッキーデータを使って特定のクライアント用のアプリケーションステートを「思い出し」、適切なレスポンスを生成する。
この仕組みは状況によっては十分に機能し得るが、クライアント上に保存されたデータは、クライアントにアクセスできるユーザまたはソフトウェアによる改竄に対して脆弱である。機密性と整合性が要求される状況でクライアントサイドセッションを使用するには、以下の項目を保証しなければならない。
これを達成するには、サーバはデータをクライアントに送信する前にセッションを暗号化する必要があり、第三者による当該情報の変更は暗号手法によって防止すべきである。
すべてのリクエストでステートを送受信する方法の実用性は、クッキーのサイズが小さい場合に限られる。本質的に、クライアントサイドのセッションでは、サーバのディスク容量がウェブリクエストごとに余分に必要となる帯域に交換される。さらに、ウェブブラウザはウェブサイトごとに保存できるクッキーの数とサイズを制限している。効率を改善し、より多くのセッションデータを扱えるようにするため、サーバ側でデータを圧縮してからクッキーを作成し、クライアントからクッキーが返されたら解凍することも考えられる。
HTTPセッショントークン.
セッション管理.
ヒューマンマシンインタラクションにおいて、セッション管理とは、コンピュータシステムとの対話セッション全体でユーザの活動を追跡するプロセスのことである。