Sesión PHP expira en 30 minutos: 3 métodos efectivos + código

¿Por qué tu sesión PHP dura más de lo necesario?

¿Alguna vez te has preguntado por qué después de 30 minutos de inactividad tu sitio web aún recuerda que iniciaste sesión? ¿O, por el contrario, los usuarios se quejan de que los "echa" del sistema demasiado pronto? El problema de gestionar el tiempo de vida de una sesión en PHP es uno de los dolores de cabeza más comunes para desarrolladores principiantes (y no tan principiantes). La pregunta "How do I expire a PHP session after 30 minutes?" ha acumulado miles de visitas en Stack Overflow, y no es casualidad.

Vamos a descubrir cómo hacer que una sesión PHP expire exactamente después de 30 minutos. Analizaremos tres enfoques: desde el más simple (pero engañoso) hasta el más profesional. Aprenderás por qué session.gc_maxlifetime a menudo no funciona como esperas y cómo escribir código robusto que no te falle.

El problema: ¿qué es realmente el "tiempo de vida de una sesión"?

Antes de lanzarnos al código, aclaremos los conceptos básicos. Una sesión PHP no es solo un temporizador que corre en el navegador. Es un archivo en el servidor (generalmente en /tmp/) que almacena los datos del usuario. Que la sesión "expire" significa que este archivo se elimina o se vuelve inválido.

Hay tres factores clave que afectan el tiempo de vida:

\n
• Cookie de sesión: el navegador guarda el identificador de sesión (normalmente en la cookie PHPSESSID). Esta cookie tiene su propio tiempo de vida.
\n
• Archivo de sesión en el servidor: tiene una fecha de última modificación (mtime).
\n
• Recolector de basura (GC): PHP limpia periódicamente los archivos de sesión antiguos, pero no lo hace con una frecuencia fija, sino de forma aleatoria.
\n

Precisamente por esta arquitectura de "tres niveles" surge la confusión. Configurar un solo parámetro a menudo no produce el efecto deseado.

Método 1: El ingenuo — solo session.gc_maxlifetime

La forma más obvia, que sugiere la documentación, es establecer session.gc_maxlifetime. Parece que esta es la respuesta a la pregunta "How do I expire a PHP session after 30 minutes?". Pero no todo es tan sencillo.

<?php\n// Iniciar la sesión\nsession_start();\n\n// Establecer el tiempo de vida de la sesión en segundos (30 minutos = 1800 segundos)\nini_set('session.gc_maxlifetime', 1800);\n\n// Establecer también el tiempo de vida de la cookie de sesión en 30 minutos\nsession_set_cookie_params(1800);\n\n// ¿Listo? No.\n?>

¿Por qué podría no funcionar?

\n
• El recolector de basura (GC) es perezoso. Se ejecuta con una probabilidad de session.gc_probability / session.gc_divisor (por defecto 1/100). Es decir, aunque el archivo de sesión tenga una hora de antigüedad, es posible que no se elimine en la siguiente solicitud si el GC no se activa.
\n
• Otras aplicaciones. Si en el servidor se ejecutan varios sitios, pueden limpiar las sesiones de otros o, por el contrario, no limpiar las tuyas.
\n
• Caché. En algunos alojamientos (especialmente en hosting compartido), la configuración de ini_set puede ser ignorada.
\n

Veredicto: Este método es la base, pero no es una solución milagrosa. Solo funciona en condiciones ideales. Para producción, hay que profundizar más.

Método 2: Temporizador manual dentro de la sesión (recomendado)

Este enfoque es el punto medio ideal. En lugar de depender del recolector de basura, nosotros mismos controlamos el tiempo de la última actividad del usuario. Es la respuesta más popular en Stack Overflow sobre el tema sesión php expira en 30 minutos.

La idea es simple: en cada solicitud, verificamos cuándo fue la última vez que el usuario estuvo activo. Si ha pasado más de 30 minutos, destruimos la sesión.

<?php\nsession_start();\n\n// Tiempo de vida de la sesión en segundos\n$session_lifetime = 1800; // 30 minutos\n\n// Verificamos si existe la marca de tiempo de la última actividad\nif (isset($_SESSION['LAST_ACTIVITY'])) {\n    // Calculamos la diferencia entre el momento actual y la última actividad\n    $inactivity_time = time() - $_SESSION['LAST_ACTIVITY'];\n    \n    // Si ha estado inactivo más de 30 minutos, destruimos la sesión\n    if ($inactivity_time > $session_lifetime) {\n        session_unset();     // Elimina todas las variables de sesión\n        session_destroy();   // Destruye la sesión\n        header(\"Location: login.php\"); // Redirigir al login\n        exit();\n    }\n}\n\n// Actualizamos la marca de tiempo de la última actividad\n$_SESSION['LAST_ACTIVITY'] = time();\n?>

Ventajas de este método:

\n
• Control total: Tú decides exactamente cuándo expira la sesión, sin depender del GC.
\n
• Preciso: La sesión expirará exactamente después de 30 minutos de inactividad, no antes ni después.
\n
• Portátil: Funciona en cualquier servidor, independientemente de la configuración de PHP.
\n

Desventajas:

\n
• Requiere incluir este código en cada página que necesite control de sesión.
\n
• No elimina el archivo de sesión del servidor (eso lo sigue haciendo el GC), pero la sesión se vuelve inaccesible.
\n

Veredicto: Este es el método que recomendamos para la mayoría de los proyectos. Es simple, fiable y te da control total sobre el tiempo de expiración.

Método 3: Almacenamiento en base de datos (para aplicaciones críticas)

Si estás construyendo una aplicación donde la seguridad y la precisión son fundamentales (como un sistema bancario o un panel de administración), almacenar las sesiones en la base de datos es la opción más profesional.

En lugar de usar archivos, guardas los datos de la sesión en una tabla de tu base de datos. Así puedes controlar exactamente cuándo expira cada sesión y eliminarla de forma precisa.

<?php\n// Ejemplo simplificado de manejo de sesiones con base de datos\n\n// Conectar a la base de datos\n$db = new mysqli('localhost', 'usuario', 'contraseña', 'basedatos');\n\n// Generar un ID de sesión único\n$session_id = session_id();\n\n// Verificar si la sesión existe y no ha expirado\n$query = \"SELECT * FROM sessions WHERE session_id = '$session_id' AND last_activity > (NOW() - INTERVAL 30 MINUTE)\";\n$result = $db->query($query);\n\nif ($result->num_rows == 0) {\n    // La sesión no existe o ha expirado\n    session_destroy();\n    header(\"Location: login.php\");\n    exit();\n} else {\n    // Actualizar la marca de tiempo de la última actividad\n    $db->query(\"UPDATE sessions SET last_activity = NOW() WHERE session_id = '$session_id'\");\n}\n?>

Ventajas:

\n
• Control absoluto: Puedes consultar, modificar y eliminar sesiones con consultas SQL.
\n
• Escalabilidad: Ideal para aplicaciones con múltiples servidores (balanceo de carga).
\n
• Seguridad: Puedes implementar expiración forzada, invalidación de sesiones específicas, etc.
\n

Desventajas:

\n
• Requiere más configuración inicial.
\n
• Añade latencia en cada solicitud (consulta a la base de datos).
\n
• Más complejo de mantener.
\n

Veredicto: Úsalo solo cuando necesites el máximo control y seguridad. Para proyectos pequeños o medianos, el método 2 es más que suficiente.

Conclusión: ¿Cuál método elegir?

Aquí tienes una guía rápida para decidir:

\n
• Método 1 (solo gc_maxlifetime): Solo para pruebas locales o proyectos muy simples donde no importe la precisión.
\n
• Método 2 (temporizador manual): La opción recomendada para el 90% de los proyectos web. Fácil de implementar y fiable.
\n
• Método 3 (base de datos): Para aplicaciones críticas, sistemas multi-servidor o cuando necesites funcionalidades avanzadas de gestión de sesiones.
\n

Recuerda: la seguridad de las sesiones no es un juego. Una sesión que no expira correctamente puede ser una puerta abierta para ataques. Implementa siempre un control de tiempo de vida, especialmente en aplicaciones que manejan datos sensibles.

¿Tienes alguna duda sobre cómo implementar estos métodos? ¡Déjala en los comentarios y te ayudaremos!