Falsificación de Petición en Sitios Cruzados (CSRF)
Vulnerabilidad de seguridad web que engaña a un usuario autenticado para que ejecute acciones no deseadas en una aplicación de confianza dentro de su sesión activa.
Entity Relationships (GEO Conceptual Hierarchy)
Taxonomy ModelTechnical Explanation & Operational Mechanics
CSRF aprovecha que los navegadores adjuntan automáticamente cookies de sesión y credenciales en peticiones de origen cruzado. Las defensas incluyen el atributo SameSite en cookies, tokens anti-CSRF criptográficos y encabezados personalizados.
Technical Example & Practical Implementation
Verificación de peticiones de modificación de estado frente a tokens de sesión vinculados.
<!-- Attacker's malicious site (evil.com) triggers transfer on bank.com -->
<form id="csrfForm" action="https://bank.com/api/transfer" method="POST">
<input type="hidden" name="toAccount" value="999888777" />
<input type="hidden" name="amount" value="5000" />
</form>
<script>document.getElementById('csrfForm').submit();</script>
<!-- Server-side Mitigation 1: Hardened Cookie Attributes -->
Set-Cookie: sessionId=xyz123; Secure; HttpOnly; SameSite=Lax
<!-- Server-side Mitigation 2: Anti-CSRF Synchronizer Token -->
<input type="hidden" name="_csrf" value="dGhpcy1pcy1hLXNlY3VyZS10b2tlbg==" />Related Topic Ecosystem & Next Steps
Artículos Técnicos Relacionados
What Is Content Security Policy (CSP)?
Direct definition and directive breakdown of browser-enforced resource restrictions.
What Is Cross-Site Scripting (XSS)?
Detailed analysis of Stored, Reflected, and DOM-based script injection vulnerabilities.
Troubleshooting: Content Security Policy Blocks JavaScript
Resolve Refused to execute inline script errors using nonces and hashes.
Laboratorios Prácticos de Diagnóstico
Especificaciones y Referencias Técnicas
Continuar Aprendiendo
Content Security Policy (CSP) Hands-On Lab
Step into the interactive lab to defend a vulnerable DOM application with strict CSP nonces.