[{"data":1,"prerenderedAt":125},["ShallowReactive",2],{"publication:he:P154":3},{"meta":4,"copy":15,"relatedArticles":111,"terms":112,"term":113,"resourceParent":119,"glossaryParent":122},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P154","\u002Fglossary\u002Fssrf","term","מה זה SSRF","מה זה SSRF ואיך בקשה מהשרת הופכת לסיכון","SSRF היא השפעה על בקשה שיוצאת מהשרת ליעד לא מורשה. הסבר על כתובות יעד, DNS, הפניות ובקרות רשת, עם דוגמה בטוחה לבעלי אתרים.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fcrm-integrations","2026-10-29",{"intro":16,"sections":17,"checklist":71,"faq":76,"sources":86,"links":91,"cta":106},"SSRF, קיצור של Server-Side Request Forgery, היא חולשה שמאפשרת להשפיע על בקשות שיוצאות מהשרת כך שיפנו ליעד שאינו מורשה. לדוגמה, רכיב שמוריד קובץ מכתובת שהמשתמש מזין צריך לבדוק לאן השרת באמת מתחבר. הסיכון נובע מהגישה ומההקשר של השרת, ולא רק ממה שהמשתמש יכול לפתוח בדפדפן.",[18,23,54,59,64],{"title":19,"paragraphs":20},"מתי שרת האתר פונה לכתובת שמגיעה מבחוץ",[21,22],"יצירת תצוגה מקדימה לקישור, יבוא תמונה ושליחת webhook ליעד שהלקוח מגדיר הן דוגמאות לתהליכים שצריך למפות. עצם קיום התכונה אינו מוכיח חולשה; השאלה היא איך נקבע יעד הבקשה ואילו בקרות מגבילות אותה. כתובת שנראית חיצונית בתחילת התהליך אינה תחליף לבדיקה של החיבור בפועל.","בסקירה ממפים מי מזין את הכתובת, איזה רכיב מעבד אותה, אילו הרשאות יש לתהליך ומה הוא מחזיר למשתמש. חשוב לברר גם מה נשמר בלוגים ומה קורה בכשל. מיפוי זה מאפשר לבקש בדיקה מקצועית בהיקף מוגדר בלי להתנסות בכתובות פנימיות של מערכת חיה.",{"title":24,"paragraphs":25,"table":27,"sources":50},"הגנה נבחנת לפי היעדים שהעסק באמת צריך",[26],"OWASP מבחין בין תהליך שפונה למספר יעדים מוכרים לבין תהליך שצריך לפנות ליעדים ציבוריים מגוונים. במקרה הראשון אפשר לתכנן רשימת יעדים מורשים; במקרה השני נדרשות בקרות מתאימות לפענוח כתובת, DNS וטווחי רשת. הפניות אוטומטיות עלולות לשנות את היעד ולכן דורשות מדיניות מפורשת.",{"caption":28,"headers":29,"rows":33},"שאלות למיפוי בקשה יוצאת",[30,31,32],"שלב","שאלה לבדיקה","גבול תכנון",[34,38,42,46],[35,36,37],"בחירת יעד","האם נחוצים יעדים קבועים או כתובת חופשית","לא לפתוח בחירה מעבר לצורך",[39,40,41],"פענוח כתובת ו-DNS","לאן הבקשה אמורה להתחבר בפועל","בדיקה טקסטואלית בלבד אינה מספיקה",[43,44,45],"הפניה לכתובת אחרת","האם מותר לעקוב אחריה","לא לאשר יעד חדש אוטומטית",[47,48,49],"יציאה מהרשת","אילו יעדים ושירותים נגישים לתהליך","לצמצם גם בשכבת הרשת",[51],{"label":52,"url":53},"OWASP: הגנה מבקשות שרת ליעדים לא מורשים","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FServer_Side_Request_Forgery_Prevention_Cheat_Sheet.html",{"title":55,"paragraphs":56},"דוגמה: יבוא תמונת מוצר מקישור",[57,58],"התרחיש להמחשה בלבד. חנות מאפשרת למנהל להזין כתובת תמונה כדי שהשרת ייבא אותה. הצורך העסקי הוא תמונה ממקור מורשה, ולא גישה לכל משאב שהשרת מסוגל להגיע אליו. האחראי מגדיר מקורות, סוגי תוכן ומגבלות תפעול בהתאם למערכת ולספק.","ניסוי הקבלה נעשה בסביבה מורשית עם יעדים נשלטים ונתוני ניסיון. הוא בוחן שהתמונה המותרת מתקבלת ויעד שמחוץ למדיניות נדחה באופן צפוי. אין צורך לפרסם כתובות פנימיות, מפתחות ענן או דוגמאות ניצול כדי להסביר לבעל העסק את הסיכון ואת תוצאת התיקון.",{"title":60,"paragraphs":61},"מה ההבדל בין SSRF, XSS ו-CSRF",[62,63],"SSRF עוסק בבקשות שהשרת מוציא. XSS עוסק בתוכן פעיל לא רצוי בהקשר הדפדפן, ו-CSRF בבקשה לפעולה תוך שימוש בהקשר מאומת. ההבחנה חשובה מפני שבקרת דפדפן אינה מחליפה הגבלת יעדים בצד השרת. גם תעודת HTTPS תקינה אינה אישור עסקי לפנות ליעד מסוים.","ממצא SSRF צריך לפרט זרימה וגבולות גישה, ולא רק שם חולשה. אם בוצעה פנייה לא מורשית, בירור היקף החשיפה נפרד מתיקון מנגנון הכתובות. לא מסיקים מדוח שהייתה גניבת מידע בלי ראיות, ולא מסיקים מתיקון בודד שכל חיבור יוצא אחר נבדק.",{"title":65,"paragraphs":66,"example":68},"מה צריכה לכלול מסירת התיקון",[67],"בקשו תיאור הרכיב והגרסה, מי שולט בקלט, מדיניות היעדים והבקרות שנבדקו. הראיה צריכה להראות גם תפקוד מותר וגם דחייה של מצב לא מורשה, בהיקף מוסכם. מציינים אם הפניות, IPv4 ו-IPv6 ושינויי DNS רלוונטיים לתכנון, ואת ההנחות שנותרו לבדיקה.",{"title":69,"text":70},"כרטיס בדיקה לבקשות יוצאות","רכיב: __. מקור כתובת: __. יעדים מותרים: __. מדיניות הפניות: __. בקרת יציאה: __. ניסוי מורשה ותוצאה: __. מגבלה ואחראי: __.",[72,73,74,75],"זוהו התהליכים שמוציאים בקשות בשם המשתמש.","הוגדר צורך עסקי ויעדים מותרים.","פענוח כתובת, DNS והפניות נכללו בתכנון.","נבדקו בקרות יישום ורשת ותפקוד מורשה.",[77,80,83],{"question":78,"answer":79},"SSRF קיימת רק בשירותי ענן?","לא, כל שרת שמבצע בקשה ליעד מושפע מקלט עשוי לדרוש בחינה. סוג הסביבה והגישה הזמינה משפיעים על ההשלכה.",{"question":81,"answer":82},"אפשר לפתור SSRF עם CSP?","CSP מכוונת להתנהגות מסמך בדפדפן. היא אינה תחליף לבקרות על בקשות שהשרת מוציא.",{"question":84,"answer":85},"חסימת כתובות פרטיות מסיימת את הבדיקה?","לא בהכרח: צריך להתייחס לפענוח ולפתרון הכתובת, ליעד בפועל, להפניות ולבקרות רשת בהתאם לתהליך. רשימה חלקית אינה הוכחה להגנה מלאה.",[87,88],{"label":52,"url":53},{"label":89,"url":90},"OWASP: אבטחת קבלת ושליחת webhooks","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FWebhook_Security_Cheat_Sheet.html",[92,95,98,101,104],{"path":93,"label":94},"\u002Fblog\u002Fwebhook-security","אבטחת חיבור webhook",{"path":96,"label":97},"\u002Fblog\u002Fapi-keys-secrets","ניהול סודות והרשאות החיבור",{"path":99,"label":100},"\u002Fglossary\u002Fxss","מה זה XSS",{"path":102,"label":103},"\u002Fglossary\u002Ffirewall","הגבלת תעבורה באמצעות חומת אש",{"path":12,"label":105},"בדיקת אבטחת אתר",{"title":107,"description":108,"button":109,"type":110},"האתר מוריד תוכן או שולח מידע לכתובת שהמשתמש בוחר?","נמפה את תהליך הבקשה והגישה הזמינה ונגדיר בדיקה מורשית של יעדים ובקרות.","לתיאום בדיקה וטיפול","check",[],[],{"name":114,"aliases":115},"SSRF",[116,117,118],"ssrf","server side request forgery","בקשות מצד השרת",{"path":120,"label":121},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":123,"label":124},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061561]