Речь в статье идёт про теорию концепции. На практике чем выше безопасность, тем ниже удобство, поэтому каждый сам находит адекватный баланс, который его устраивает. Другими словами, можно аутентифицировать / авторизовать при первом обращении к ресурсу и повторно запрашивать пароль, только если пользователь бездействовал определённый период времени (а-ля блокировка компьютера по таймауту бездействия).