CSRF — איך אתר זדוני מבצע פעולות בשמכם

נניח שאתם מחוברים לבנק שלכם בלשונית אחת. בלשונית אחרת אתם פותחים אתר תמים — ופתאום בוצעה העברה כספית. זו CSRF.

איך זה עובד?

1. אתם מחוברים לאתר (יש לכם cookie פעיל).
2. אתר זדוני גורם לדפדפן שלכם לשלוח בקשה לאתר שאליו אתם מחוברים (למשל טופס נסתר).
3. הדפדפן שולח אוטומטית את ה-cookie שלכם — והאתר חושב שזו פעולה לגיטימית שלכם.

התוקף לא רואה את התגובה — אבל הפעולה כבר בוצעה (העברה, שינוי מייל, מחיקה).

איך מתגוננים?

• CSRF Tokens — האתר מוסיף לכל טופס ערך אקראי וסודי שאתר זדוני לא יכול לנחש.
• SameSite Cookies — מגדירים ש-cookie לא יישלח בבקשות מאתר אחר. הגנה חזקה ופשוטה.
• בדיקת Origin/Referer — לוודא שהבקשה הגיעה מהאתר עצמו.

הלקח

CSRF מנצל אמון של האתר בדפדפן שלכם. הפריימוורקים המודרניים כוללים הגנה מובנית — חשוב לא לכבות אותה.