O que é CSRF e como você previne?

Question

Accepted Answer

**CSRF (Cross-Site Request Forgery)** engana o navegador de um usuário autenticado para fazer **requisições indesejadas** a um site onde ele está autenticado — realizando ações (transferências, alterações) sem seu consentimento, explorando o envio automático de credenciais/cookies pelo navegador. ## Como CSRF funciona ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## Prevenção ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## Por que isso importa Compreender CSRF e como preveni-lo é valioso porque é uma **vulnerabilidade web comum** que explora como navegadores funcionam, permitindo que atacantes realizem ações como usuários autenticados, então é conhecimento de segurança importante para desenvolvedores web. Compreender **como CSRF funciona** — explorando que navegadores **enviam automaticamente cookies** (incluindo cookies de sessão) com requisições, então uma página maliciosa pode disparar uma requisição para um site onde o usuário está autenticado, e o navegador inclui o cookie de sessão, fazendo o site tratar a requisição forjada como legítima e realizar a ação (transferências, mudanças de conta) sem o consentimento do usuário — é necessário para entender este ataque sutil mas perigoso. CSRF é perigoso porque pode realizar ações sensíveis como a vítima sem seu conhecimento, e é uma vulnerabilidade web comum. Compreender a **prevenção** é essencial: **tokens CSRF** (um token único e imprevisível por sessão/formulário que o servidor verifica — o site do atacante não pode conhecê-lo, então requisições forjadas falham; a defesa tradicional principal), **cookies SameSite** (configurando SameSite=Lax/Strict para que cookies não sejam enviados em requisições cross-site, agora uma defesa robusta em nível de navegador que é cada vez mais padrão), verificar headers Origin/Referer, exigir re-autenticação para ações sensíveis, e não usar GET para operações que alteram estado. Compreender que **frameworks frequentemente fornecem proteção CSRF integrada** (que deve estar habilitada e ser usada) é importante na prática. A combinação de tokens CSRF e cookies SameSite fornece proteção robusta. Como CSRF é uma vulnerabilidade web comum explorando comportamento do navegador para realizar ações indesejadas como usuários autenticados, e como compreender como funciona e como preveni-lo (tokens CSRF, cookies SameSite, proteções do framework) é importante para desenvolvedores web, compreender CSRF e sua prevenção é conhecimento de segurança valioso e praticamente relevante — uma classe de ataque importante para entender e se defender, onde as defesas (tokens CSRF e cookies SameSite) são conhecimento chave para proteger usuários de serem enganados em ações indesejadas, uma classe de ataque notável para qualquer aplicação web com operações que alteram estado e requerem autenticação.