Me pregunto acerca de mi enfoque de seguridad.

Tenemos un servidor web con algún tipo de backend y una interfaz JS. Los usuarios deben iniciar sesión a través de la interfaz, con solicitudes GET/POST regulares, obtienen un conjunto de cookies de sesión solo HTTP, así como una cadena "wstoken" particular que está disponible para JS (configurándola con <script>wstoken = 'xxx';</script>

Luego, la interfaz abre una conexión WS al servidor API y envía una solicitud de autenticación con el wstoken. Si el wstoken coincide con lo que tenemos para el usuario en la base de datos, aceptamos la solicitud de autenticación y consideramos que la conexión WS está autenticada para ese usuario.

Me pregunto si lo estoy haciendo bien.