# Ce este falsificarea de cereri cross-site (CSRF)?

> Falsificarea de cereri cross-site (cross-site request forgery, CSRF) este o slăbiciune web în care un atacator face ca browserul sau codul client-side al unui utilizator să trimită o cerere neintenționată către o aplicație care are încredere în contextul autentificat existent al utilizatorului.

- URL canonic: https://yellowcube.eu/ro/glossary/cross-site-request-forgery/
- Editor: Yellow Cube
- Limbă: ro
- Contact: hello@yellowcube.eu

## Conținut

Aplicația acceptă cererea deoarece credențiale precum cookie-urile o însoțesc automat, fără a confirma adecvat că utilizatorul a intenționat acțiunea. Impactul este limitat de privilegiile utilizatorului și de operațiunea vulnerabilă.

Apărările trebuie să distingă acțiunile intenționate din aceeași aplicație de cererile inițiate sau influențate în altă parte. Protecția furnizată de framework este de preferat când domeniul și configurația sa sunt înțelese, iar acțiunile sensibile pot avea nevoie și de reautentificare sau confirmare explicită.

### Puncte esențiale

- **Integritatea cererii:** Folosiți tokenuri anti-CSRF imprevizibile legate de sesiunea utilizatorului și validați-le server-side la cereri care schimbă starea, sau folosiți alt model suportat de framework cu proprietăți echivalente.
- **Semnale de browser:** Configurați cookie-urile SameSite adecvat și validați anteturile Origin, Fetch Metadata sau anteturi personalizate așteptate acolo unde este potrivit; tratați-le ca semnale stratificate cu compatibilitate și comportament de proxy documentate.
- **Proiectarea fluxului de lucru:** Nu permiteți metodelor de cerere nominal read-only să schimbe starea, cereți autorizare curentă pentru fiecare acțiune, limitați privilegiile și durata sesiunii și adăugați verificări step-up pentru operațiuni cu consecințe mari.
- **Limitare importantă:** Cookie-urile SameSite sau prezența tokenurilor singure nu garantează protecția. Tokenurile pot fi divulgate, predictibile sau legate incorect, iar cross-site scripting (XSS) în interiorul aplicației de încredere poate învinge multe apărări CSRF.

### Termeni asociați

[Cross-site scripting (XSS)](<https://yellowcube.eu/ro/glossary/cross-site-scripting/>) · [Securitatea aplicațiilor web](<https://yellowcube.eu/ro/glossary/web-application-security/>) · [Autentificare](<https://yellowcube.eu/ro/glossary/authentication/>) · [Autorizare](<https://yellowcube.eu/ro/glossary/authorization/>) · [Securitatea API-urilor](<https://yellowcube.eu/ro/glossary/application-programming-interface-security/>)

### Surse

[OWASP Cross-Site Request Forgery Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.html) · [MITRE CWE-352: Cross-Site Request Forgery](https://cwe.mitre.org/data/definitions/352.html)

## Să construim o apărare cibernetică mai eficientă împreună

Construim parteneriate de durată, bazate pe încredere, expertiză și succes comun. Fie că doriți să vă dezvoltați afacerea, să vă extindeți oferta de securitate cibernetică sau să lansați soluții inovatoare pe piețe noi, Yellow Cube vă sprijină pe termen lung.

[Luați legătura cu Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Sursa și domeniul de aplicare

Această versiune Markdown este generată din aceleași înregistrări aprobate ca pagina HTML canonică. Pentru citare, utilizați URL-ul canonic.