[{"data":1,"prerenderedAt":157},["ShallowReactive",2],{"publication:ru:P153":3},{"meta":4,"copy":16,"relatedArticles":142,"terms":143,"term":144,"resourceParent":151,"glossaryParent":154},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":15},"P153","\u002Fglossary\u002Fcsrf","term","что такое CSRF","Что такое CSRF: подделка запроса и проверка полномочий","Что такое CSRF: запрос, токен и полномочия","Как браузерные учетные данные связаны с CSRF. Токены, SameSite и WordPress nonce: почему наличие защиты запроса не заменяет проверку прав.",[13,14],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fwordpress-security","2026-10-31",{"intro":17,"sections":18,"checklistTitle":99,"checklist":100,"faq":107,"sources":117,"links":120,"cta":137},"CSRF, межсайтовая подделка запроса, использует ситуацию, когда браузер отправляет учетные данные к действию приложения без надлежащего подтверждения намерения пользователя. Защита зависит от маршрута, проверки запроса и полномочий. Наличие входа, скрытой кнопки или токена в странице не доказывает, что сервер правильно ограничивает действие.",[19,29,35,71,82,94],{"title":20,"paragraphs":21,"sources":25},"Почему законный сеанс не означает намеренное действие",[22,23,24],"Браузер может автоматически прикладывать связанные учетные данные к запросам в соответствующих условиях. Приложение должно различать контроль сеанса и намерение выполнить меняющее состояние действие. Одного факта пользователь уже вошел для этого недостаточно.","Для бизнеса речь может идти об изменении настроек, данных или другого рабочего состояния. Сначала назовите операцию, пользователя и допустимую область. Не нужно делать вывод о всей системе по одному наличию формы или знакомому адресу.","OWASP описывает защиту через поддерживаемые механизмы фреймворка, корректную проверку токенов и дополнительные браузерные условия. Выбор зависит от архитектуры, а не от универсального скрытого поля. Проверять нужно серверное решение до выполнения действия.",[26],{"label":27,"url":28},"OWASP: защита от CSRF и границы браузерных механизмов","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FCross-Site_Request_Forgery_Prevention_Cheat_Sheet.html",{"title":30,"paragraphs":31},"Намерение запроса и полномочия являются разными проверками",[32,33,34],"Даже корректно связанный запрос не дает пользователю право менять любой объект. Авторизация должна подтвердить действие и область ресурса. И наоборот, наличие подходящей роли не означает, что запрос действительно пришел по ожидаемому пользовательскому маршруту.","Скрытие кнопки в интерфейсе не является серверным ограничением. Проверка должна существовать на стороне, где выполняется операция. Для приемки связывают пользователя, объект, действие и способ подтверждения запроса, не ограничиваясь видом страницы.","Запросы браузера и серверные уведомления интеграций имеют разные модели доверия. Например, вебхук может использовать подпись поставщика вместо пользовательского сеанса. Нельзя распространять исключение одного callback-маршрута на все формы сайта.",{"title":36,"paragraphs":37,"table":40},"Матрица проверки действия",[38,39],"Следующая таблица является рабочим шаблоном CyberFixCrew. Она помогает владельцу и разработчику согласовать, что именно должно подтверждаться. Это не код для копирования и не результат активного тестирования.","Проверки выполняют до изменения состояния, а итог связывают с конкретным маршрутом. Поддерживаемый механизм защиты фреймворка требует корректного использования: одно название middleware не доказывает охват каждой операции.",{"caption":41,"headers":42,"rows":46},"Идентичность, запрос и разрешенное действие",[43,44,45],"Вопрос","Что подтвердить","Недостаточное свидетельство",[47,51,55,59,63,67],[48,49,50],"Кто обращается?","Нужный контекст идентичности","На странице виден профиль",[52,53,54],"Что запрашивается?","Операция и целевой объект","Есть знакомая кнопка",[56,57,58],"Как подтвержден запрос?","Поддерживаемая серверная проверка","Токен просто присутствует в разметке",[60,61,62],"Разрешено ли действие?","Права на этот объект и операцию","Пользователь вошел в систему",[64,65,66],"Как участвует браузер?","Условия cookie и маршрута","Один общий флаг без анализа",[68,69,70],"Есть ли отдельная интеграция?","Ее собственная модель доверия","Выключили проверку для всего приложения",{"title":72,"paragraphs":73,"sources":77},"SameSite и WordPress nonce имеют ограничения",[74,75,76],"SameSite влияет на отправку cookie браузером, но не является универсальной заменой защиты приложения. Нужно учитывать межсайтовые и внутрисайтовые условия, методы и зависимые рабочие маршруты. Механическое ужесточение может также затронуть законные переходы.","WordPress прямо поясняет: его nonces не проверяются на строго одноразовое использование и не заменяют аутентификацию, авторизацию или управление доступом. Наличие nonce не означает защиту от любого повтора и не дает права выполнять действие.","Условный пример: обработчик проверяет nonce, но не проверяет право пользователя менять выбранную запись. Защита запроса и полномочия здесь являются разными задачами. Пример вымышленный: код клиента и реальные записи не проверялись.",[78,79],{"label":27,"url":28},{"label":80,"url":81},"WordPress: nonce, полномочия и ограничения повторного использования","https:\u002F\u002Fdeveloper.wordpress.org\u002Fapis\u002Fsecurity\u002Fnonces\u002F",{"title":83,"paragraphs":84,"steps":88},"Как проверять исправление безопасно",[85,86,87],"Согласуйте роли, учебные объекты и ожидаемые результаты до действий. Для операции нужны положительный рабочий сценарий и безопасные проверки предусмотренных ограничений. Нельзя менять реальную клиентскую запись или платеж ради знакомства с термином.","Проверьте фактический маршрут, где решение принимает сервер, а не только экран формы. Убедитесь, что исключения понятны и не распространяются на лишние действия. Если доступ к реализации отсутствует, обозначьте предел вместо полного вывода.","После исправления примите обычный рабочий процесс: вход, форму, сохранение и согласованные интеграции. Отказ части законных действий не следует автоматически считать успешной безопасностью. Нужны причина, поддерживаемое решение и повторная приемка.",[89,90,91,92,93],"Назвать действие, роли и область объектов.","Уточнить модель сеанса и подтверждения запроса.","Отдельно проверить авторизацию.","Провести разрешенные безопасные сценарии.","Сохранить результат, исключения и ограничения.",{"title":95,"paragraphs":96},"Как связать понятие с задачей бизнеса",[97,98],"Если вопрос касается формы, настроек или callback, сначала определите, кто должен инициировать действие и как это подтверждается. Затем выберите соответствующую область проверки. Наличие HTTPS, фильтра или общего высокого балла не отвечает на все эти вопросы.","CyberFixCrew - израильская компания по кибербезопасности сайтов и цифровой инфраструктуры. Работаем с русскоязычными бизнесами по всему миру и применяем израильские знания к защите рабочих процессов: от действий администратора до запросов интеграций. Перед проверкой согласуем роли, доступы и ожидаемый результат.","Вопросы о защите от CSRF",[101,102,103,104,105,106],"Определены действие, объект и разрешенная роль.","Контроль сеанса отделен от намерения запроса.","Токен проверяется поддерживаемым серверным механизмом.","Авторизация не подменяется nonce или интерфейсом.","SameSite и исключения оценены в своем контексте.","Приемка использует учебные объекты и сохраняет работу.",[108,111,114],{"question":109,"answer":110},"Если пользователь вошел в аккаунт, CSRF уже невозможен?","Сеанс подтверждает отдельный контекст, но не обязательно намерение выполнить конкретное действие. Нужны соответствующая защита запроса и проверка полномочий. Приемка должна охватывать серверный маршрут и нужный объект, а не только страницу входа.",{"question":112,"answer":113},"WordPress nonce является одноразовым разрешением?","В WordPress он имеет ограниченный срок, но не проверяется как строго одноразовый. Он не заменяет аутентификацию и права на действие. Разработчик должен применять поддерживаемые проверки запроса и полномочий отдельно.",{"question":115,"answer":116},"Вебхуку нужна та же защита, что форме пользователя?","Серверное уведомление и браузерная форма могут иметь разные модели доверия. Вебхук проверяют по схеме поставщика, сохраняя узкую область исключений. Нельзя отключать защиту всех пользовательских действий из-за несовместимости одного callback-маршрута.",[118,119],{"label":27,"url":28},{"label":80,"url":81},[121,124,127,130,133,135],{"path":122,"label":123},"\u002Fglossary\u002Fxss","Отличие небезопасного вывода",{"path":125,"label":126},"\u002Fglossary\u002Fleast-privilege","Права на действие и область",{"path":128,"label":129},"\u002Fblog\u002Fwordpress-plugin-selection","Проверка новых форм и компонентов",{"path":131,"label":132},"\u002Fblog\u002Fwebhook-security","Отдельная модель серверных уведомлений",{"path":13,"label":134},"Согласовать проверку контроля приложения",{"path":14,"label":136},"Работы по безопасности WordPress",{"title":138,"description":139,"button":140,"type":141},"Уточним, как приложение подтверждает рабочее действие","Опишите форму или маршрут без секретов. Согласуем роли, область и безопасную приемку.","Обсудить защиту запросов","check",[],[],{"name":145,"aliases":146},"Межсайтовая подделка запроса (CSRF)",[147,148,149,150],"cross-site request forgery","цсрф","подделка межсайтового запроса","подделка запроса",{"path":152,"label":153},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":155,"label":156},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794134064123]