add auth, add session timeouts