開発者はセッションのセキュリティを改善できます。設定であっても、推奨される設定がないものがあります。開発者にはセッションの設定を強固にする責任があります。特別な意味があります。これは、恒久的なストレージにクッキーを保存しないようブラウザに指示します。よって、ブラウザが終了した場合、セッションIDクッキーはすぐに削除されます。開発者がこの値を0以外にすると、他のユーザーがセッションIDを使うことを許す可能性があります。開発者は自前のセキュアな自動ログイン機能を実装しなければなりません。この機能のために、有効期間が長いセッションIDを使ってはいけません。前のページの関連するセクションで、より多くの情報が見つかるかもしれません。クッキーはセッションIDを管理する手段として好ましい方法であり続けています。セッションIDの管理に、可能であればクッキーだけを使うようにしましょう。ほとんどのアプリケーションはセッションIDの管理にクッキーを使うべきです。よって設定されたものをセッションIDに使うようになります。デフォルトでは無効になっています。有効にすることで、セッションモジュールが未初期化のセッションIDを使うことを防げます。セッションモジュールが生成した有効なセッションIDだけを受け入れるようになるということです。この設定は、ユーザーによって与えられたあらゆるセッションIDを拒否します。削除できないセッションIDクッキーを置くことが可能です。攻撃者が初期化したセッションIDが使われるのを防ぐことができます。ターゲットユーザーのセッションIDを設定するかもしれません。攻撃者は悪用するセッションIDをアクティブな状態に保たなければなりません。攻撃者はこのシナリオで攻撃を実行するには追加のステップが必要です。軽減策として役に立つのです。アクセスさせることを拒否します。この設定によって、JavaScriptインジェクションによってクッキーを盗むことを防げます。HTMLソースが保存され、他のユーザに送られることがあるからです。開発者は、セキュリティを向上させるため、セッションIDをWebサイトに出力すべきではありません。属性をセッションIDクッキーに設定しなければなりません。トークンも、セッションIDと同じように定期的に更新すべきです。session.cookie_secure=OnセッションIDクッキーを、プロトコルがHTTPSの場合にだけアクセスすることを許可します。経由でのみアクセス可能であるなら、この設定を有効にすべきです。