¿Qué es CSRF y cómo lo prevines?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** engaña al navegador de un usuario autenticado para que realice **solicitudes no deseadas** a un sitio donde está autenticado — ejecutando acciones (transferencias, cambios) sin su consentimiento, explotando el envío automático de credenciales/cookies del navegador. ## Cómo funciona CSRF ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Prevención ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Por qué es importante Comprender CSRF y cómo prevenirlo es valioso porque es una **vulnerabilidad web común** que explota cómo funcionan los navegadores, permitiendo a los atacantes realizar acciones como usuarios autenticados, por lo que es importante conocimiento de seguridad para desarrolladores web. Comprender **cómo funciona CSRF** — explotando que los navegadores **envían automáticamente cookies** (incluyendo cookies de sesión) con solicitudes, por lo que una página maliciosa puede desencadenar una solicitud a un sitio donde el usuario ha iniciado sesión, y el navegador incluye la cookie de sesión, haciendo que el sitio trate la solicitud falsificada como legítima y ejecute la acción (transferencias, cambios de cuenta) sin el consentimiento del usuario — es necesario para comprender este ataque sutil pero peligroso. CSRF es peligroso porque puede realizar acciones sensibles como la víctima sin su conocimiento, y es una vulnerabilidad web común. Comprender la **prevención** es esencial: **tokens CSRF** (un token único e impredecible por sesión/formulario que el servidor verifica — el sitio del atacante no puede conocerlo, por lo que las solicitudes falsificadas fallan; la defensa tradicional principal), **cookies SameSite** (estableciendo SameSite=Lax/Strict para que las cookies no se envíen en solicitudes entre sitios, ahora una defensa de nivel navegador fuerte que es cada vez más predeterminada), verificar encabezados Origin/Referer, requerir reautenticación para acciones sensibles, y no usar GET para operaciones que cambian el estado. Comprender que los **marcos de trabajo a menudo proporcionan protección CSRF integrada** (que debe estar habilitada y usada) es prácticamente importante. La combinación de tokens CSRF y cookies SameSite proporciona protección robusta. Ya que CSRF es una vulnerabilidad web común que explota el comportamiento del navegador para realizar acciones no deseadas como usuarios autenticados, y ya que comprender cómo funciona y cómo prevenirlo (tokens CSRF, cookies SameSite, protecciones del marco de trabajo) es importante para desarrolladores web, comprender CSRF y su prevención es valioso y prácticamente relevante conocimiento de seguridad — una clase de ataque importante de la web para entender y defenderse, donde las defensas (tokens CSRF y cookies SameSite) son conocimiento clave para proteger a los usuarios de ser engañados en acciones no deseadas, una clase de ataque notable para cualquier aplicación web con operaciones que cambian el estado autenticado.