Security

auth/login.php

@@ -24,6 +24,9 @@ $infoMessage = null;
 if (isset($_GET['expired'])) {
     $infoMessage = "Uw sessie is beëindigd wegens inactiviteit of een dagwissel. Log opnieuw in om verder te gaan.";
 }
+if (isset($_GET['revoked'])) {
+    $infoMessage = "Uw sessie is op afstand beëindigd of ingetrokken. Log opnieuw in om verder te gaan.";
+}
 if (isset($_GET['ip_changed'])) {
     $infoMessage = "U bent ingelogd vanaf een andere netwerklocatie. Uit veiligheidsoverwegingen dient u opnieuw in te loggen met 2FA.";
 }
@@ -148,6 +151,13 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
                 // Volledige login succesvol (geldig tot 23:59:59 van vandaag)
                 fociz_register_user_ip((int)$user['id'], $clientIp, true);
 
+                // Session Fixation Beveiliging (OWASP ASVS v4.0 §3.3.1 / SOC 2 CC6.6):
+                // Genereer direct een nieuw cryptografisch sessie-ID en vernietig de pre-auth sessie
+                if (session_status() === PHP_SESSION_ACTIVE) {
+                    session_regenerate_id(true);
+                }
+                $newSessionId = session_id();
+
                 $_SESSION['user_id'] = $user['id'];
                 $_SESSION['user_name'] = $user['name'];
                 $_SESSION['user_email'] = $user['email'];
@@ -163,6 +173,10 @@ if ($_SERVER['REQUEST_METHOD'] === 'POST') {
                 // Dagsessie-token uitgeven (strikt geldig tot 23:59:59 van vandaag)
                 issue_day_session_token((int)$user['id']);
 
+                // Registreer actieve sessie in user_sessions (SOC 2 / ISO 27001)
+                $maxIdleSeconds = function_exists('get_session_idle_timeout') ? get_session_idle_timeout() : 1800;
+                fociz_register_active_session((int)$user['id'], $newSessionId, $maxIdleSeconds);
+
                 fociz_log_audit((int)$user['id'], 'LOGIN_SUCCESS', 'user', (int)$user['id'], ['ip' => $clientIp, 'auth_method' => 'PASSWORD+2FA'], 'SUCCESS', $user['email']);
 
                 unset($_SESSION['pending_2fa_user_id'], $_SESSION['pending_2fa_user_email'], $_SESSION['pending_2fa_user_name']);