Cross-site request forgery
CSRF · Costringere il browser di un utente connesso a inviare una richiesta senza che l'utente ne sia a conoscenza, tramite un link o un modulo su un altro sito.
- 01
Perché è importante
Il browser aggiunge automaticamente il cookie di sessione a ogni richiesta verso un sito. Se il sito non verifica che una richiesta provenga davvero dalla schermata dell'utente, un'altra pagina può cambiare una password, aggiornare un indirizzo o avviare un trasferimento a nome dell'utente. Token specifici per ogni modulo e cookie configurati correttamente lo impediscono.
- 02
Esempio
Il modulo per cambiare l'e-mail di un pannello di amministrazione non ha un token di verifica. Mentre è connesso, l'amministratore clicca un link condiviso su un forum; sullo sfondo l'e-mail dell'account viene sostituita con quella dell'attaccante.
- 03
Errore comune
Compiere azioni importanti tramite link che funzionano dalla barra degli indirizzi. Ogni azione che modifica uno stato deve essere l'invio di un modulo protetto da token, con nuova autenticazione per quelle critiche.
- 04
Termini correlati
Servizi e guide correlati
Parliamo del tuo progetto.
Raccontaci la tua esigenza; definiremo insieme l'ambito.