Anti-CSRF
Anti-CSRF est un ensemble de mesures contre la falsification de requête inter-sites, incluant tokens CSRF, cookies SameSite et vérification Origin/Referer.
Objectif
Défendre globalement contre les attaques CSRF, en s'assurant que les requêtes de changement d'état proviennent d'une source légitime.
Mécanisme
Token CSRF (pattern synchroniseur), cookie SameSite=Strict/Lax (le navigateur n'envoie pas inter-sites), vérification d'en-tête Origin/Referer. Double soumission de cookie est une variante.
Cas d’usage
- Défense globale CSRF
- Base de sécurité web
- Protection de session