<div dir="ltr"><div>I found the problem.  We had maxTimeSinceAuthn=120. It's been like that since 2021, and we hadn't seen issues.  However, we recently started enforcing MFA, and now it seems users are taking longer than 2 minutes to complete the auth flow.  And it's worse when they are first establishing their MFA device.  In theory, I guess we could remove that setting since NotOnOrAfter is 5 minutes. I increased maxTimeSinceAuthn to 300, and we have stopped seeing the issue.   <br><br></div><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature">--<br><br>Thanks,<br><br>Dan </div></div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Mon, Jun 8, 2026 at 12:08 PM Scott Cantor via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><br>
<br>
> On Jun 8, 2026, at 12:55 PM, Dan McLaughlin <<a href="mailto:dmclaughlin@tech-consortium.com" target="_blank">dmclaughlin@tech-consortium.com</a>> wrote:<br>
> <br>
> That may not be it then.  Firefox we have the same issue as Chrome.  I'll keep digging, but I think you might be on to something regarding cookies.  <br>
> <br>
> Of all the cookies, which in your opinion is most likely the cause?  One of the shib cookies, or the jsessionid?<br>
<br>
The error is due to JSESSIONID being absent or the container session timing out. That is literally what the error means, it's not a matter of opinion. Why is the only relevant question.<br>
<br>
It's not impossible Firefox reintroduced it. They never publicly documented anything we could find when they reversed it, so no reason they'd disclose that they changed it back.<br>
<br>
And in fact I just checked and lo and behold the FF settings are magically back again, so I think they repeated their original mistake and copied what Chrome did. They all start with network.cookie.sameSite. I'll revert any change to the documentation since it's back.<br>
<br>
Apple, to their immense credit, has still AFAIK rejected implementing this idiotic idea.<br>
<br>
-- Scott<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>