In generale, forse un anno andrebbe bene o sarebbe sufficiente. È una pratica abbastanza comune lasciare aperta una scheda del browser.
Ma se ci sono preoccupazioni sulla privacy o sulla sicurezza, allora forse un timeout di 30 minuti per inattività sarebbe una buona cosa.