Falsification de Requête Inter-Sites (CSRF)
Vulnérabilité de sécurité web incitant un utilisateur authentifié à soumettre des requêtes non désirées à une application de confiance via sa session active.
Entity Relationships (GEO Conceptual Hierarchy)
Taxonomy ModelTechnical Explanation & Operational Mechanics
CSRF exploite la transmission automatique par le navigateur des cookies de session lors de requêtes cross-site. La mitigation repose sur l’attribut SameSite des cookies, les jetons anti-CSRF et la validation des en-têtes Origin.
Technical Example & Practical Implementation
Contrôle des requêtes sensibles au moyen de jetons synchronisés.
<!-- Attacker's malicious site (evil.com) triggers transfer on bank.com -->
<form id="csrfForm" action="https://bank.com/api/transfer" method="POST">
<input type="hidden" name="toAccount" value="999888777" />
<input type="hidden" name="amount" value="5000" />
</form>
<script>document.getElementById('csrfForm').submit();</script>
<!-- Server-side Mitigation 1: Hardened Cookie Attributes -->
Set-Cookie: sessionId=xyz123; Secure; HttpOnly; SameSite=Lax
<!-- Server-side Mitigation 2: Anti-CSRF Synchronizer Token -->
<input type="hidden" name="_csrf" value="dGhpcy1pcy1hLXNlY3VyZS10b2tlbg==" />Related Topic Ecosystem & Next Steps
Articles Techniques Associés
What Is Content Security Policy (CSP)?
Direct definition and directive breakdown of browser-enforced resource restrictions.
What Is Cross-Site Scripting (XSS)?
Detailed analysis of Stored, Reflected, and DOM-based script injection vulnerabilities.
Troubleshooting: Content Security Policy Blocks JavaScript
Resolve Refused to execute inline script errors using nonces and hashes.
Laboratoires Pratiques de Diagnostic
Spécifications et Références Développeur
Poursuivre l’Apprentissage
Content Security Policy (CSP) Hands-On Lab
Step into the interactive lab to defend a vulnerable DOM application with strict CSP nonces.