本稿では、セッション乗っ取り対策の一環として併せて行うのがよいと考えられる対策をいくつか取り上げている。乗っ取り機会の低減(予防策)決定的な対策とは行かないが、攻撃者がセッション乗っ取りを行う機会をなるべく少なくするためには次のような補助的な予防策も併せて行う。セッションタイムアウトWebアプリケーションにはセッションタイムアウト機能を設ける。ユーザはログアウト操作をすることを忘れてしまうことがある。前回のアクセス時刻から一定の時間が経過したら、クライアントから送られてくるセッションの続きのリクエストを受け付けないようにするより親切なユーザインタフェースを設けるなら、ログインフォームを表示し、ユーザ認証に合格したら、ユーザがアクセスしようとしていた本来のページに再びナビゲートする等の仕組みを設けるWebアプリケーションエンジンによってはセッションタイムアウト機能を備えているので、それを利用できる。明示的なログアウトの機能Webアプリケーションには明示的なログアウトの機能を設ける。できれば、各ページでログアウト操作が行えると良い。ユーザがログアウトの意思表示をした際、プログラムは次を行う。Webサーバ側でセッションIDを確実に無効にする。その後同じセッションIDがクライアントから送られてきても受け付けないWebブラウザ側のセッションIDを消去するCookieの場合──Cookieを消去するSet-Cookieレスポンスヘッダを送るURLリライティング、hiddenフィールドの場合──特別な処理は不要これは、セッションをユーザが必要とする以上継続させないことで、攻撃者がセッション乗っ取りを行う機会を減らすものである。乗っ取り兆候の警戒(検知策)クライアントから送られてくるリクエストの内容等について、正規ユーザと攻撃者の差異を見いだし、乗っ取りの兆候を検知できる場合がある。クライアントIPアドレスの変化セッションの途中でクライアントIPアドレスに変化が生じたらセッション乗っ取りを警戒する。User-Agentリクエストヘッダの変化セッションの途中でUser-Agentリクエストヘッダの値に変化が生じたらセッション乗っ取りを警戒する。Webページのアクセスをユーザに許すのではないなんらかの歯止め策があれば、被害をある程度食い止めることができる。パスワード変更画面の旧パスワード入力パスワード変更画面においては、新しいパスワードのみならず、現在のパスワードの入力も求める。セッションを乗っ取ったものの、現在のパスワードを知らない攻撃者がパスワードを変更できないようにする。パスワードの変更を許した場合、そのアカウントそのものが攻撃者に占有されかねない。重要な会話処理を開始する際、まずパスワードの入力を求め、正しいパスワードが提示されなければ情報表示や処理を行わないようにする。次のような場面においてである。重要な処理を行った際、その旨をあらかじめ登録されているユーザ本人のメールアドレスにメールで通知するようにする。次のような場面においてである。購入や振込み等の金銭が関係する手続きの完了サイトの中における身分の変更、退会。