Cross-Site Request Forgery
Falsificación de solicitud entre sitios
La falsificación de solicitud entre sitios, o CSRF, hace que un navegador con sesión iniciada envíe una acción que la persona no eligió. El sitio objetivo confía en cookies u otras credenciales que el navegador agrega automáticamente.
Otro ejemplo
Un administrador de nómina que ha iniciado sesión visita una página perjudicial que intenta `POST` un cambio de cuenta bancaria. La aplicación requiere un token CSRF de sesión, verifica `Origin` y usa cookies `SameSite`. También solicita al administrador que vuelva a iniciar sesión. Un enlace `GET` no puede cambiar la nómina.
Partes principales
- 01Sesión autenticada ambiental
- 02solicitud falsificada entre sitios
- 03Validación anti-CSRF del lado del servidor
Úsalo cuando
Protege cada solicitud del navegador que cambie datos. Esto incluye solicitudes que envían credenciales guardadas por sí mismas. Usa tokens adecuados y verificaciones de origen.
No lo uses cuando
`POST` por sí solo no es protección, y CORS no es una defensa completa contra CSRF. Nunca pongas un token CSRF en una URL o en un lugar que otro sitio pueda leer.
Nombre usado en código
synchronizer/double-submit token + Origin/Fetch Metadata checks + SameSite + reauthentication Antes de lanzarlo
Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target.
Outcome: Complete the task with Falsificación de solicitud entre sitios (Cross-Site Request Forgery). User context: Un administrador de nómina que ha iniciado sesión visita una página perjudicial que intenta `POST` un cambio de cuenta bancaria. La aplicación requiere un token CSRF de sesión, verifica `Origin` y usa cookies `SameSite`. También solicita al administrador que vuelva a iniciar sesión. Un enlace `GET` no puede cambiar la nómina. Risk or control to address: Falsificación de solicitud entre sitios (Cross-Site Request Forgery). Why it applies: Protege cada solicitud del navegador que cambie datos. Esto incluye solicitudes que envían credenciales guardadas por sí mismas. Usa tokens adecuados y verificaciones de origen. Classification boundary: `POST` por sí solo no es protección, y CORS no es una defensa completa contra CSRF. Nunca pongas un token CSRF en una URL o en un lugar que otro sitio pueda leer. Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary): Es oficial para esa fuente. Otras plataformas o equipos pueden usar el término de otra manera. Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.
Revisa esta petición
Review how Falsificación de solicitud entre sitios (Cross-Site Request Forgery) is used now. Definition: La falsificación de solicitud entre sitios, o CSRF, hace que un navegador con sesión iniciada envíe una acción que la persona no eligió. El sitio objetivo confía en cookies u otras credenciales que el navegador agrega automáticamente. Release checks: Work only within an explicitly authorized and isolated defense test. Check the trust boundary, inert regression case, mitigation, and handling of secrets and personal data. Check redacted detection signals, safe failure, incident owner, recovery, and rollback. Never test a real target. Before changing code, list the evidence, gaps, severity, and the smallest safe fix.