A expiração insuficiente da sessão permite que invasores mantenham o acesso à conta, pois a alteração de senha não revoga as sessões web ativas. Um invasor com uma senha vazada ou um cookie de sessão copiado pode manter o acesso por até 30 dias, permitindo a leitura de credenciais de integração, a criação de chaves de API ou o registro de passkeys.