WebSockets при уходе должен закрывать коннект.

onbeforeunload удаляй куку в js

Разве сессионные куки не для этого сделаны?

http://en.wikipedia.org/wiki/HTTP_cookie#Session_cookie

Типа того

function getUnixTimestamp () { /*...*/ }
function setCookie (name, value) { /*...*/ }
function getCookie (name) { /*...*/ }

var EXPIRES = 10;

setCookie ('presence', getUnixTimestamp ());
window.setInterval (function ()
{
    if (getUnixTimestamp () - getCookie ('presence') > EXPIRES)
        setCookie ('target', null);
    else
        setCookie ('presence', getUnixTimestamp ());

}, 1000);

Фурифокс может восстановить сессию со всеми куками.

Нельзя полагаться на такое поведение.

И что, держать по вебсокету от каждого юзера только чтоб проверить?

Нельзя такого и я думаю вполне умышленно. Куки сессии как раз для авторизаци.

To invoke this event, do one of the following:
Close the current window. 
Navigate to another location by entering a new address or selecting a Favorite. 
Click an anchor that refers to another document. 
Invoke the anchor.click method. 
Invoke the document.write method. 
Invoke the document.close method. 
Invoke the window.close method. 
Invoke the window.navigate or NavigateAndFind method. 
Invoke the location.replace method. 
Invoke the location.reload method. 
Specify a new value for the location.href property. 
Submit a form to the address specified in the ACTION attribute via the INPUT type=submit control, or invoke the form.submit method. 
Invoke the window.open method, providing the possible value _self for the window name. 
Invoke the document.open method. 
Click the Back, Forward, Refresh, or Home button.

Закрытие браузера неотличимо от закрытия вкладки (ну или всех вкладок с твоим сайтом) - кроме удаления сессионных куков. Если разлогинивание при закрытии вкладок допустимо, можно по таймауту (N минут) на стороне сервера делать невалидными куки, а с клиентских страниц раз в N минут пинговать сервер (продлевая кукам жизнь).

Спасибо всем за советы. Наверное пока уменьшу время сессии и вернусь к этому вопросу позже.

Перехват события закрытия браузера

Так делать нельзя. Сессионные кукки — правильное решение!

Они не дают никаких гарантий.

А вот это уже дело юзера.
Да, еще сессии можно использовать.

вернусь к этому вопросу позже

Молодец, так держать по жизни.

Если кого-то интересует чем всё закончилось: решили сделать следующий вариант. Каждые 2 секунд клиентом с любой страницы сайта посылается пинг запрос. В случае, если в течение минуты не было ни одного запроса, то сервер удаляет клиентскую сессию.

Кроме этого, существует дополнительная «виртуальная» сессия подлиннее. Т.е. если в течение 15 минут на сайте не было активности (кроме пинга), сервер удаляет сессию.

пропал хоп в метро - аа: всё-о!

Да, именно так.

Поправка к моему предыдущему сообщению: каждые _20_ секунд.