# Czym jest cross-site request forgery (CSRF)?

> Cross-site request forgery (CSRF) to słabość webowa, w której atakujący powoduje, że przeglądarka użytkownika lub kod po stronie klienta wysyła niezamierzone żądanie do aplikacji ufającej istniejącemu uwierzytelnionemu kontekstowi użytkownika.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/cross-site-request-forgery/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Aplikacja akceptuje żądanie, ponieważ poświadczenia takie jak ciasteczka są dołączane automatycznie, bez adekwatnego potwierdzenia, że użytkownik zamierzał daną akcję. Wpływ jest ograniczony uprawnieniami użytkownika i podatną operacją.

Obrony powinny odróżniać zamierzone, wewnątrzaplikacyjne akcje od żądań zainicjowanych lub wpływanych gdzie indziej. Ochrona dostarczana przez framework jest preferowana, gdy jej zakres i konfiguracja są zrozumiałe, a wrażliwe akcje mogą też wymagać jawnego ponownego uwierzytelnienia lub potwierdzenia.

### Najważniejsze punkty

- **Integralność żądań:** Używaj nieprzewidywalnych tokenów anty-CSRF związanych z sesją użytkownika i waliduj je po stronie serwera przy żądaniach zmieniających stan, lub użyj innego wzorca wspieranego przez framework z równoważnymi właściwościami.
- **Sygnały przeglądarki:** Konfiguruj ciasteczka SameSite odpowiednio i waliduj nagłówki Origin, Fetch Metadata lub oczekiwane nagłówki niestandardowe tam, gdzie odpowiednie; traktuj je jako warstwowe sygnały z udokumentowaną kompatybilnością i zachowaniem proxy.
- **Projekt przepływu pracy:** Nie pozwalaj nominalnie tylko-odczytowym metodom żądań zmieniać stan, wymagaj bieżącej autoryzacji dla każdej akcji, ograniczaj uprawnienia i czas trwania sesji oraz dodawaj kontrole wzmacniające przy operacjach o wysokich konsekwencjach.
- **Istotne ograniczenie:** SameSite ani sama obecność tokenów nie gwarantuje ochrony. Tokeny mogą wyciec, być przewidywalne lub błędnie związane, a cross-site scripting (XSS) w zaufanej aplikacji może pokonać wiele obron CSRF.

### Powiązane terminy

[Cross-site scripting (XSS)](<https://yellowcube.eu/pl/glossary/cross-site-scripting/>) · [Bezpieczeństwo aplikacji webowych](<https://yellowcube.eu/pl/glossary/web-application-security/>) · [Uwierzytelnianie](<https://yellowcube.eu/pl/glossary/authentication/>) · [Autoryzacja](<https://yellowcube.eu/pl/glossary/authorization/>) · [Bezpieczeństwo API](<https://yellowcube.eu/pl/glossary/application-programming-interface-security/>)

### Źródła

[OWASP Cross-Site Request Forgery Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.html) · [MITRE CWE-352: Cross-Site Request Forgery](https://cwe.mitre.org/data/definitions/352.html)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.