[{"data":1,"prerenderedAt":124},["ShallowReactive",2],{"publication:he:P153":3},{"meta":4,"copy":15,"relatedArticles":110,"terms":111,"term":112,"resourceParent":118,"glossaryParent":121},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P153","\u002Fglossary\u002Fcsrf","term","מה זה CSRF","מה זה CSRF ולמה כניסה תקינה אינה אישור לפעולה","CSRF מנצל הקשר מאומת לביצוע פעולה לא רצויה. הסבר על tokens, בדיקות מקור והרשאות, וההבדל בין nonce של WordPress לאימות משתמש.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fwordpress-security","2026-10-29",{"intro":16,"sections":17,"checklist":73,"faq":78,"sources":88,"links":91,"cta":105},"CSRF, קיצור של Cross-Site Request Forgery, הוא מצב שבו דפדפן של משתמש נגרם לשלוח בקשה לפעולה שהמשתמש לא התכוון לאשר, תוך שימוש בהקשר הכניסה הזמין לו. קיום חשבון מחובר אינו מוכיח שהמשתמש התכוון לפעולה המסוימת. הגנה דורשת בקרות מתאימות בצד היישום, לצד אימות והרשאות.",[18,23,54,63,68],{"title":19,"paragraphs":20},"מה ההבדל בין זהות, סמכות וכוונה",[21,22],"אימות עונה על השאלה מי המשתמש, והרשאה על השאלה מה מותר לו לעשות. בהקשר CSRF צריך לבחון גם אם הבקשה לפעולה מתאימה לתהליך שהיישום מצפה לו. מנגנון שהדפדפן מצרף אוטומטית אינו לבדו הוכחת כוונה.","המושג אינו מתאר בהכרח גניבת סיסמה או הרצת קוד בדפדפן. לכן החלפת סיסמה או הוספת הצפנה אינן תיקון אוטומטי של מסלול פגיע. צריך להבין איזו פעולה משנה מצב ואילו בדיקות השרת מפעיל לפני שהוא מבצע אותה.",{"title":24,"paragraphs":25,"table":27,"sources":50},"בקרות נפוצות ומה צריך להתאים ליישום",[26],"OWASP מתארת מנגנונים כגון tokens ובקרות מקור לפי סוג היישום, לצד הגנות נוספות. בדיקות צריכות להתבצע בצד השרת ובהקשר מתאים. הגדרת cookie או כותרת אחת אינה הוכחה שכל הפעולות מוגנות.",{"caption":28,"headers":29,"rows":33},"שאלות לבדיקה לפני פעולה שמשנה מצב",[30,31,32],"תחום","שאלה","מה אינו תחליף",[34,38,42,46],[35,36,37],"אימות","האם זהות המשתמש נבדקה","עצם קיום שדה בטופס",[39,40,41],"הרשאה","האם החשבון רשאי לפעול על המשאב","token לבדו",[43,44,45],"הגנת בקשה","האם אומת המנגנון המתאים","קיום token בלי בדיקתו",[47,48,49],"תהליך רגיש","האם נדרש אישור מתאים לפעולה","הנחה שכל בקשה מביעה כוונה",[51],{"label":52,"url":53},"OWASP: הגנה מפני CSRF","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FCross-Site_Request_Forgery_Prevention_Cheat_Sheet.html",{"title":55,"paragraphs":56,"sources":59},"מה nonce של WordPress עושה ומה אינו עושה",[57,58],"WordPress מסבירה שה-nonces שלה מסייעים להגנה בהקשרים כגון CSRF, אך אינם מנגנון אימות או בקרת הרשאות. הם גם אינם בהכרח חד-פעמיים במובן המילולי. לכן קיומו של nonce בקישור או בטופס אינו פוטר מבדיקת הסמכות לפעולה ולמשאב.","התיקון צריך להתאים לממשקי WordPress ולמסלול בפועל. אין להחליף מנגנון נתמך בהשוואה מאולתרת או להסתפק בכך שהשדה מופיע בדף. מפתח מורשה בודק יצירה, העברה ואימות לצד כללי ההרשאה.",[60],{"label":61,"url":62},"WordPress: Nonces אינם אימות או הרשאה","https:\u002F\u002Fdeveloper.wordpress.org\u002Fapis\u002Fsecurity\u002Fnonces\u002F",{"title":64,"paragraphs":65},"דוגמה: שינוי הגדרה בחשבון מנהל",[66,67],"זו המחשה שאינה כוללת קוד תקיפה. פעולה לשינוי הגדרה דורשת משתמש מורשה, בדיקת סמכות והגנת בקשה מתאימה. מסך שנראה תקין אינו מוכיח שהשרת אוכף את כל התנאים. בדיקה מאושרת משתמשת במשאב ניסיון ובתוצאה שאפשר להחזיר בבטחה.","בדוח מתעדים פעולה, חשבון בדיקה, הבקרה שנבחנה ותוצאת retest. אין לבצע שינויים בחשבונות או הזמנות אמיתיים כדי להדגים סיכון. כל בדיקה מחייבת היקף, הרשאה ותנאי עצירה.",{"title":69,"paragraphs":70},"מה שונה מ-XSS ומה בודקים אחרי תיקון",[71,72],"CSRF אינו XSS. חולשת XSS יכולה להשפיע על יכולת ההגנה בהקשרים מסוימים, אבל אין לאחד אותן לאותו תיקון. צריך לבדוק גם פלט דפדפן, הרשאות ותהליכים רגישים לפי היקף המערכת.","לאחר תיקון מוודאים שהפעולה המותרת עדיין עובדת, שבקרה חסרה או לא מתאימה אינה מתקבלת בהקשר שנבדק ושחשבונות ללא הרשאה אינם יכולים לפעול. היעדר שגיאה במסך אינו הוכחה שהבדיקות האלה בוצעו.",[74,75,76,77],"הוגדרו פעולות שמשנות מצב.","אימות, הרשאה והגנת בקשה נבדקו בנפרד.","לא הסתפקו בקיום nonce או token.","בוצעו בדיקות מורשות בנתוני ניסיון.",[79,82,85],{"question":80,"answer":81},"MFA מונע CSRF לבדו?","לא, הוא מחזק כניסה לפי השיטה, אך אינו מחליף הגנת בקשות והרשאות בתוך היישום.",{"question":83,"answer":84},"nonce הוא סיסמת המשתמש?","לא, אין להתייחס אליו כהוכחת זהות או סמכות. ב-WordPress יש לו תפקיד ומגבלות מוגדרים בתיעוד.",{"question":86,"answer":87},"צריך לבטל את הטופס כדי להיות בטוחים?","לא בהכרח: צריך לתקן את הבקרות המתאימות ולבחון תפקוד. חסימה זמנית, אם נדרשת, נקבעת לפי הסיכון והמערכת ובהרשאה.",[89,90],{"label":52,"url":53},{"label":61,"url":62},[92,95,98,101,103],{"path":93,"label":94},"\u002Fglossary\u002Fxss","ההבדל מ-XSS",{"path":96,"label":97},"\u002Fglossary\u002Fleast-privilege","עקרון ההרשאה המזערית",{"path":99,"label":100},"\u002Fglossary\u002Fplugin-vulnerability","חולשות ברכיבי אתר",{"path":12,"label":102},"בדיקת היקף והרשאות",{"path":13,"label":104},"אבטחת WordPress",{"title":106,"description":107,"button":108,"type":109},"נמצאה בעיית בקשות או הרשאות באתר?","נגדיר את הפעולה וההיקף ונבדוק בקרות ותיקון בתיאום עם האחראי למערכת.","לתיאום בדיקה וטיפול","check",[],[],{"name":113,"aliases":114},"CSRF",[115,116,117],"csrf","cross site request forgery","זיוף בקשות",{"path":119,"label":120},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":122,"label":123},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061412]