Автологин (автовход) некорректно работает

[Siava]

шаблон запроса 

Описание проблемы: Проблема с автовходом на форум
Произведенные изменения, после которых начались неполадки: Переход с движка 2.0 на 3.1 =)
Версия phpBB: 3.1.6
Используемые стили: prosilver с незначительными правками
Используемые моды/расширения: большой список... главный подозреваемый конечно же "phpBB SEO Ultimate SEO URL" , "Quick Login" на втором месте, третий подозреваемый... "Ajax Shoutbox"
Версия PHP:: 5.4.45
Используемая СУБД и её версия: Percona 5.6.26-74.0
Ссылка на конференцию: https://siava.ru/forum/
Есть ли у вас тестовый аккаунт: в ЛС
Использовался ли поиск для решения проблемы: конечно же)
Если да, то какие запросы вы использовали: автовход, автологин, выкидывает, сессии, куки, запомнить меня, remember me

Посетители жалуются на некорректную работу функции "запомнить меня". У кого-то раз в сутки происходит "разлогинивание", у кого-то раз в неделю, а кого-то раз в сессию. Стандартно посылаю чистить куки, но вроде не шибко помогает.
Сам сталкивался с подобным раза 2 только на мобильном хроме и только примерно раз в неделю. Грешил на динамический IP адрес и магнитные бури..

Какие настройки, кроме кук, ещё влияют на запоминание сессий?

Домен cookie: siava.ru
Имя cookie: phpbb3_swd6z
Путь cookie: /
Безопасные cookie [ https ]: Включено

влияют ли настройки из раздела конфигурация сервера > безопасность?
Ниже мои настройки, кое-что пропущу, оставлю "подозрительные"

...
Время действия автоматического входа при использовании функции «Запомнить меня» (дней): 0
Проверка IP-адреса сессии: A.B.C (это для меня самый главный вопрос)
Проверка браузера: да
Проверка заголовка X_FORWARDED_FOR: нет (тоже под вопросом... сервер виртуальный, находится за NAT, все запросы к php проксируются через nginx, в apache включен mod_rpaf)
Проверять рефёрер: Проверять только хост
...
Привязать формы к гостевым сессиям: да

конфигурация сервера > нагрузка на сервер

Длительность сессии: 7200сек
Ограничить сессии: 0
Временной диапазон онлайн-статистики: 30мин

Настройки сервера

Включить URL Rewriting: да
Принудительные настройки URL сервера: да
Протокол сервера: https://
Имя домена: siava.ru
Порт сервера: 0 (или 443, один и тот же эффект)
Путь к конференции: /forum

Сейчас собираю статистику с посетителей, чтобы понять закономерность. Отключать все расширения не хотелось бы.. Может кто сталкивался с подобным?

[владимир1983]

Имя cookie: phpbb3_swd6z

Рекомендую изменить и с админки очистить сессии.

Домен cookie: siava.ru

Код: Выделить всё

.siava.ru

Проверка IP-адреса сессии: A.B.C (это для меня самый главный вопрос)

Всё верно, но можно поставить на проверку только первую пару. т.е. A.B

Проверка заголовка X_FORWARDED_FOR: нет (тоже под вопросом... сервер виртуальный, находится за NAT, все запросы к php проксируются через nginx, в apache включен mod_rpaf)

Нет

Привязать формы к гостевым сессиям: да

Обязательно НЕТ
всё остальное нормально.
Было один в один после конверта раза три, изменил настройка на приведенные выше, и всё нормализовалось.

[Siava]

владимир1983, всё сделал, спасибо.
Не стал менять только

Проверка IP-адреса сессии: A.B.C

Куку переименовал на свою, сессии почистил.
У меня проблем пока не наблюдается, а вот некоторые пользователи продолжают жаловаться на вылеты. Снова посылаю их чистить куки.. посмотрим что в итоге получится. Обычно в таких ситуациях предпочитаю дождаться вылета на своём браузере, чем читать что-то типа "всё стало ещё хуже".

[Gardi]

Регулярно чищу куки Адвентидом и проблем не возникает.

[Siava]

Всё равно у меня не работает автовход корректно, что бы я ни делал
Проходит день или неделя, но всё равно слетает.

[Siava]

С куками что-то не то, так как даже в RSS-читалке Bamboo (плагин для Firefox) каждый раз при запросе с моего форума все прочтённые сообщения отображаются как непрочтённые. На phpbbguru такого нет, так как здесь всё работает нормально.
Не понимаю даже в какую сторону копать, так как в форуме всё вроде настроено верно да и настройки сервера недавно перелопатил.

Отправлено спустя 1 час 3 минуты 1 секунду:
Что любопытно, на тестовом поддомене в настройках форума домен cookie указан без точки в начале, как test.siava.ru и во всяком случае, в RSS-читалке сообщения отрабатываются корректно и в браузерах в домен добавляется точка в начало.

[rxu]

Siava, при заходе на сайт создаются только 3 секурные куки, все форумные. остальные - нет. Может, дело в этом?

siava.jpg

[Siava]

rxu, а сколько кук должно быть, если не 3?

На счёт секурности.. это конечно неправильно с точки зрения безопасности, но у меня сайт работает также и по http-протоколу (без 301 редиректа на https, есть тому одна причина...). А куки на форуме были настроены как надо - на использование SSL. Так вот сегодня днём я вернул куки в обычное состояние, чтобы они работали для любого соединения, отсюда и результат. Старые куки phpbb3_... были изначально, сейчас используется siavaru_. Понаблюдаю за результатом работы автовхода. Просто уже не знаю что поменять, чтобы работало нормально. В двойке всё было стабильно.

[Siava]

Вот кстати, на этом форуме с мобильного хрома тоже выкидывает спустя некоторое время с использованием автовхода. Куки чистил.

[KEMnEP]

Выкидывание то бывает даже тут на гуру, лично я думаю что просто сейчас эра когда куча мобильных разных устройств используется, с разными айпи и провайдерами, для входа в 1 и тот же логин, иногда система безопасности форума (там же не только куки проверяются) думает что разные люди и предотвращает разлогиванием.

[Siava]

KEMnEP, мне вот кажется, что сколько бы ни было устройств и IP всё должно работать нормально. На другом форумном движке, например на ресурсе 4PDA, ничего подобного не случается и куку держит стабильно и с компа, и со смартфонов/планшетов и др. Я не виню движок, но вот не получается найти причину.

Пользователи жалуются. Я сам не пользуюсь автовходом, но пришлось начать пользоваться, чтобы понять насколько всё плохо.

[Sumanai]

там же не только куки проверяются

Это настраивается, можно отключить.

[KEMnEP]

В курсе, вопрос стоит ли открывать бреши и смягчать безопасность.

[Siava]

Я понемногу разобрался со своей проблемой автовхода и проявились некоторые моменты.

На форуме было установлено несколько расширений с периодическими json-запросами: active notification и ajax shoutbox. Первое работает на всех страницах форума, второе только на главной. Так вот я заметил, что разлогин происходит как раз после json-запроса. И далеко не всегда после первого, бывает, что сессия ещё день-два держится, но именно если первый запрос с форума идет в формате json, то с большой вероятностью кука обнуляется и выкидывает.

Я отключил вовсе active notification, а ajax shoutbox заменил на mchat, у которого есть возможность отключить его отображение на главной. Тестирую и пока всё работает стабильно.

Какие могут быть идеи?
json-запрос без идентификатора сессии sid передаётся, может в этом причина?

[Siava]

Судя по мануалу путь куки во всех случаях должен быть: /

Но правильно ли это? Если у меня форум находится в подкаталоге /forum/ и отсутствует авторизация на сайте и вообще где-либо за пределами /forum/, то почему путь куки должен быть / ? а не /forum ?

Я свою проблему с автовходом так и не решил на 100%. Всё ломаю голову в чём ещё может быть причина.