<div dir="ltr">I am willing to bet Scott knows this better than I do.<div>But, in the SAML protocol technically the IdP can send session refresh, length and other values to the SP. </div><div><br></div><div>However, I have never seen an SP respect them. </div><div><br></div><div>Tim</div></div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Wed, Jul 29, 2026 at 3:03 PM Scott Cantor via users <<a href="mailto:users@shibboleth.net">users@shibboleth.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">> We aren't having a problem per se...  but rather our Canvas administrators were wanting us to impose idle and session lengths different from what we have configured in our IdP.  It's my understanding that such per-service settings are expected to be controlled at the SP, not the IdP.<br>
<br>
It is physically impossible (absent bizarre polling tricks involving web bugs) for an IdP to have any influence over sessions with an application. There are advice/hints an IdP can send, but they are not enforced by the IdP, only by an SP/application.<br>
<br>
This is simply how the web works. Sessions are not global things, they're origin-based because that's how cookies work.<br>
<br>
If an application decides to let people stay logged in forever, the only thing that's going to stop that is logout support or literally clearing the browser's state locally.<br>
<br>
-- Scott<br>
<br>
-- <br>
For Consortium Member technical support, see <a href="https://shibboleth.atlassian.net/wiki/x/ZYEpPw" rel="noreferrer" target="_blank">https://shibboleth.atlassian.net/wiki/x/ZYEpPw</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</blockquote></div>