CSRFskydd

CSRFskydd är ett samlingsbegrepp för tekniker som skyddar webbapplikationer mot Cross-Site Request Forgery (CSRF). CSRF är ett angrepp där en inloggad användare oavsiktligt utför oönskade åtgärder när denne besöker en illasinnad webbplats. Eftersom begäranden ofta skickas tillsammans med användarens sessioncookier uppfattas de som legitima av webbplatsen, även om användaren inte avsåg dem.

Vanliga skyddsmekanismer inkluderar CSRF-tokens, där varje ändrande begäran kräver ett hemligt token som servern kontrollerar. Tokens kan placeras i dolda formulärfält eller i rubriker och kopplas till användarsessionen. Andra metoder är SameSite-cookies, som gör att cookies inte skickas med cross-site begäranden, och referer- eller origin-kontroller som verifierar att begäranden kommer från betrodda källor. Dubbel-submit-cookie och användning av särskild header är övriga tekniker som ofta används som kompletterande skydd.

Implementering varierar mellan ramverk. Många moderna webbramverk erbjuder automatiskt CSRF-skydd som kräver token i formulär eller i API-begäranden. För API:er och Single-Page Applications är det vanligt att kombinera CSRF-tokens med SameSite-strategier och att använda säkra, HTTPOnly cookies samt kräva autentisering på åtgärder som ändrar data. Överföringar bör alltid ske över HTTPS för att förhindra avlyssning av tokens och cookies.

Begränsningar: CSRF-skydd skyddar inte mot XSS eller andra typer av attacker som direkt komprometterar klienten, och vissa skyddslösningar kan påverka användarupplevelsen om de inte konfigureras korrekt. En försiktig konfiguration och regelbunden granskning av applikationens begäranden är viktig.