Hospitales: Solo comparto lo que sé que se hace por experiencia. Estoy de acuerdo en que las pantallas se bloquean rápidamente, pero eso no es un cierre de sesión del navegador, y mucho menos del usuario del sistema operativo. ¿Pueden imaginarse qué haría la gente si la computadora tuviera que iniciar sesión, aplicar políticas, configurar conexiones de red, todo antes de cargar alguna aplicación para hacer lo que los médicos y enfermeras hacen mientras alguien está muriendo? En una línea similar, los inicios de sesión generalmente no son usuario/contraseña, sino más bien una tarjeta de identificación más un PIN corto, por la misma razón. Las salas de urgencias, quirófanos y la mayoría de las demás salas aún necesitan documentar información del paciente, por lo que donde he trabajado ha sido consistente en todas partes.
Bibliotecas: Existen políticas de reinicio al cerrar sesión y son efectivas siempre que los administradores limpien manualmente las cachés de todo lo que hay en la máquina, pero he visto tantos lugares que hacen lo contrario (una de las muchas razones por las que nunca usé estaciones de trabajo compartidas, en absoluto, nunca, con mis credenciales). He visto la misma configuración desafortunada en hoteles y cibercafés (o cafeterías) regularmente, por lo que vale la pena mencionarlo.
Me parece extraño que cualquier aplicación tenga esta configuración por defecto para todos los usuarios en todas las instalaciones. La seguridad no es el foco de la mayoría de las personas cuando configuran computadoras por primera vez, y es lo suficientemente compleja en general como para que sean profesiones de tiempo completo. Quienes configuran computadoras para el público deberían saber mejor, pero los navegadores tienen la idea de las cookies de sesión para facilitar a los desarrolladores de aplicaciones tener sesiones cuando sea intuitivo para los usuarios.
Exigir a los usuarios que entiendan que deben borrar manualmente las cookies de un sitio para cerrar sesión, cuando muchos sitios tanto agotan el tiempo de la sesión como la terminan al cerrar el navegador, parece exigir demasiado a las personas. No permitir la alternativa en absoluto, de modo que un usuario deba recordar usar el enlace específico de cierre de sesión de Discourse, se convierte en un problema cuando los usuarios pasan por alto el enlace por cualquier razón; por ejemplo:
- El usuario se aleja de Discourse siguiendo un enlace.
- El usuario se aleja de Discourse porque usa la pestaña para ir a otro lugar explícitamente.
- El usuario cierra la pestaña con prisa para ir a una clase/reunión/etc.
- El navegador se bloquea por cualquier razón.
- El implementador de SSO tiene SAML para iniciar sesión, pero no sabe que la aplicación requiere un cierre de sesión explícito para terminar la sesión de la aplicación.
Además, dos (2) meses parecen un tiempo REALMENTE largo para que persista un inicio de sesión. Sé que algunos otros sitios hoy en día pueden hacer eso, o incluso más tiempo, pero los usuarios generalmente pueden controlar esto con esas casillas de verificación de “Computadora pública”, lo cual no aplica con SSO, o quizás en absoluto (no soy un gurú de Discourse).
Solo son más ideas para considerar.