# Co je cross-site request forgery (CSRF)?

> Cross-site request forgery (CSRF) je webová slabost, při níž útočník způsobí, že prohlížeč uživatele či kód na straně klienta odešle nezamýšlený požadavek aplikaci, která důvěřuje existujícímu autentizovanému kontextu uživatele.

- Kanonická URL: https://yellowcube.eu/cs/glossary/cross-site-request-forgery/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Aplikace požadavek přijme, protože přihlašovací údaje jako cookies jej doprovázejí automaticky, bez přiměřeného potvrzení, že uživatel akci zamýšlel. Dopad je omezen privilegii uživatele a zranitelnou operací.

Obrany by měly rozlišovat záměrné akce stejné aplikace od požadavků iniciovaných či ovlivněných jinde. Ochrana poskytovaná frameworkem je preferovaná, když je pochopen její rozsah a konfigurace, a citlivé akce mohou potřebovat také explicitní reautentizaci či potvrzení.

### Klíčové body

- **Integrita požadavků:** Používejte nepředvídatelné anti-CSRF tokeny vázané na relaci uživatele a validujte je na straně serveru u požadavků měnících stav, nebo použijte jiný vzor podporovaný frameworkem s ekvivalentními vlastnostmi.
- **Signály prohlížeče:** Konfigurujte cookies SameSite přiměřeně a validujte hlavičky Origin, Fetch Metadata či očekávané vlastní hlavičky tam, kde je to vhodné; zacházejte s nimi jako s vrstvenými signály se zdokumentovanou kompatibilitou a chováním proxy.
- **Návrh workflow:** Nedovolte nominálně read-only metodám požadavků měnit stav, vyžadujte aktuální autorizaci pro každou akci, omezujte privilegia a dobu trvání relací a přidejte step-up kontroly pro operace s vysokými důsledky.
- **Důležité omezení:** Cookies SameSite či přítomnost tokenu samy o sobě nezaručují ochranu. Tokeny mohou uniknout, být předvídatelné či nesprávně vázané a cross-site scripting (XSS) uvnitř důvěryhodné aplikace může mnoho obran CSRF zneškodnit.

### Související termíny

[Cross-site scripting (XSS)](<https://yellowcube.eu/cs/glossary/cross-site-scripting/>) · [Zabezpečení webových aplikací](<https://yellowcube.eu/cs/glossary/web-application-security/>) · [Autentizace](<https://yellowcube.eu/cs/glossary/authentication/>) · [Autorizace](<https://yellowcube.eu/cs/glossary/authorization/>) · [Zabezpečení API](<https://yellowcube.eu/cs/glossary/application-programming-interface-security/>)

### Zdroje

[OWASP Cross-Site Request Forgery Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.html) · [MITRE CWE-352: Cross-Site Request Forgery](https://cwe.mitre.org/data/definitions/352.html)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.