Я думаю, вы на правильном пути.Я бы поместил его в footer.php или в любой код, отображаемый на каждой странице, - например, common.php или что-то, что происходит после аутентификации.
Я бы не стал использовать AJAX для этого, потому что это дополнительный вызовсервер / база данных, которая не требуется.Я стараюсь свести запросы к серверу к минимуму.
Кроме того, убедитесь, что вы дезинфицируете ввод (например, $ _SESSION ['id'] как int перед вставкой его в базу данных), это устранитлюбые возможные проблемы безопасности с запросом.
update_query('users', 'time=NOW()', 'WHERE userId = ' . (int) $_SESSION['id']);