Какие действия атакуют

CSRF опасен для запросов, которые меняют состояние: смены адреса почты, пароля, настроек или заказа. Если сервер принимает cookie как подтверждение личности, вредоносная форма или скрипт с другого сайта может попытаться отправить запрос от имени вошедшего пользователя.

Атака не обязана читать ответ. Ей достаточно добиться выполнения действия, которое разрешено учетной записи. Отдельный вариант - login CSRF, когда пользователя незаметно авторизуют в аккаунте, выбранном атакующим.

Как устроена защита

OWASP рекомендует использовать встроенную защиту framework или добавлять CSRF-токен к каждому state-changing запросу, а на сервере проверять его привязку и валидность. Для API и приложений метод может отличаться; проверку должна выполнять серверная сторона, а не только JavaScript в браузере.

Токен должен быть непредсказуемым и проверяться там, где меняется состояние. Не вставляйте его в ссылку.

SameSite для cookie, проверка Origin и дополнительные подтверждения могут усиливать защиту, но применяются с учетом сценария. HTTPS нужен для безопасного транспорта, однако сам по себе CSRF не останавливает. POST вместо GET также не решает проблему: атакующий может отправить поддельную форму.

SameSite ограничивает некоторые cross-site сценарии, но используется как дополнительный слой. Проверьте поведение формы с активной сессией на тестовом стенде.

CSRF-токен должен проверяться сервером при каждом защищенном изменяющем запросе. Для приложений с cookie выберите синхронизирующий токен или другой поддерживаемый framework механизм; не передавайте секрет в URL, где он может попасть в логи.

Что проверить разработчику

Убедитесь, что GET не меняет состояние, токен проверяется на сервере, а ошибка проверки не выполняет действие. XSS может обойти многие CSRF-механизмы, поэтому устраняйте оба класса проблем. Проверьте защиту на стенде и не отправляйте тестовые запросы чужому сайту.

Смотрите TLS, HTTPS и хостинг WordPress. Использованы материалы OWASP, проверенные 8 октября 2026 года; формы и пользовательские данные не тестировались.