[{"data":1,"prerenderedAt":152},["ShallowReactive",2],{"publication:ru:P154":3},{"meta":4,"copy":16,"relatedArticles":137,"terms":138,"term":139,"resourceParent":146,"glossaryParent":149},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":15},"P154","\u002Fglossary\u002Fssrf","term","что такое SSRF","Что такое SSRF: серверный запрос, назначение и границы доступа","Что такое SSRF: запросы сервера и защита назначения","Как SSRF связан с серверными запросами, DNS и перенаправлениями. Проверка фактического назначения и сетевых границ без подмены браузерной защитой.",[13,14],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fcrm-integrations","2026-10-31",{"intro":17,"sections":18,"checklistTitle":92,"checklist":93,"faq":100,"sources":110,"links":112,"cta":132},"SSRF, или Server-Side Request Forgery, - подделка запроса, при которой приложение выполняет серверное обращение к неподходящему назначению под влиянием входных данных. Для защиты нужно контролировать текст адреса, фактическое соединение, перенаправления и сетевые возможности приложения. Проверка в браузере эту задачу не заменяет.",[19,29,37,73,79,87],{"title":20,"paragraphs":21,"sources":25},"Когда сайт сам обращается к другому ресурсу",[22,23,24],"Импорт изображения, получение документа, интеграция или обработка заданного адреса могут требовать обращения от сервера. В этом случае запрос делает инфраструктура приложения с собственными возможностями доступа. Поэтому вопрос отличается от обычного перехода посетителя по ссылке.","OWASP описывает SSRF через использование приложения для взаимодействия с внутренними или внешними ресурсами. Начните с инвентаря функций, которые принимают назначение или влияют на него. Укажите владельца, ожидаемый сервис и допустимую рабочую цель.","Само наличие такой функции не доказывает уязвимость. Нужно проверить, кто управляет назначением, какие ограничения реально применяются и какие области остаются недоступными проверке. Название поля URL без описания поведения недостаточно.",[26],{"label":27,"url":28},"OWASP: предотвращение SSRF, назначения и сетевые ограничения","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FServer_Side_Request_Forgery_Prevention_Cheat_Sheet.html",{"title":30,"paragraphs":31,"sources":35},"Проверяйте назначение на всем пути",[32,33,34],"Разберите, как адрес обрабатывается приложением, преобразуется в сетевое назначение и используется при соединении. DNS и перенаправления способны изменить фактический путь. Проверка только первоначальной строки не устанавливает, куда приложение обратится дальше.","OWASP рассматривает контроль допустимых назначений и сетевые ограничения как связанные меры. Конкретный подход зависит от функции: известный набор партнерских сервисов и работа с произвольными внешними адресами имеют разные условия. Не переносите один список исключений между разными приложениями.","Уточните поведение клиента при перенаправлениях и изменениях разрешения имени. Для бизнес-проверки достаточно зафиксировать требуемую границу и владельца реализации. Испытания проводятся только в разрешенной среде с безопасными объектами и согласованными критериями.",[36],{"label":27,"url":28},{"title":38,"paragraphs":39,"table":42},"Карта серверного обращения",[40,41],"Карта CyberFixCrew помогает соединить рабочую функцию с ее фактическими полномочиями. Она полезна при обсуждении с разработчиком и владельцем инфраструктуры: каждый видит свою часть, а не предполагает, что все уже закрыто на другом слое.","Для неизвестного поведения назначьте уточнение. Нельзя считать путь запрещенным только потому, что настройка называется безопасный режим. Нужен результат согласованной проверки и описание оставшихся исключений.",{"caption":43,"headers":44,"rows":48},"Что выяснить о серверной загрузке ресурса",[45,46,47],"Область","Рабочий вопрос","Подтверждение",[49,53,57,61,65,69],[50,51,52],"Вход","Кто влияет на адрес","Роли и источники данных",[54,55,56],"Назначение","Какой сервис нужен функции","Допустимая область",[58,59,60],"Обработка","Как разбирается адрес","Понятный путь реализации",[62,63,64],"DNS и переходы","Как меняется конечный адрес","Проверка фактического назначения",[66,67,68],"Сеть","Куда разрешены обращения","Эффективные ограничения",[70,71,72],"Приемка","Работает ли нужный сценарий","Результат и исключения",{"title":74,"paragraphs":75},"Почему WAF и браузерная политика не заменяют проверку",[76,77,78],"WAF может обрабатывать определенный входящий путь, но серверная функция имеет собственный сетевой контекст. Нельзя объявлять каждый исходящий запрос защищенным только из-за наличия фильтра перед сайтом. Уточняйте, какие слои действительно участвуют.","CSP относится к поведению браузера, а CSRF - к подтверждению запросов в другом контексте. Эти меры не являются универсальной заменой управления серверным назначением. Похожие сокращения полезно различать, прежде чем выбирать задачу для исправления.","Также недостаточно разрешить только внешний вид знакомого домена. Для результата нужно связать правило приложения с фактическим соединением и сетевым доступом. Проверка должна учитывать конкретную библиотеку, среду и рабочие зависимости.",{"title":80,"paragraphs":81,"example":84},"Пример: импорт ресурса для рабочего процесса",[82,83],"Условное приложение импортирует изображение из согласованного партнерского сервиса. Владелец функции определяет допустимую область, разработчик уточняет обработку адреса, а инфраструктурный ответственный проверяет сетевые границы. После изменения проверяют и разрешенный сценарий, и согласованное ограничение.","Если для части переходов или сетевых путей данных нет, оставьте это в итоговой записи. Один успешный импорт не доказывает, что все неподходящие назначения закрыты. Неизвестное должно иметь владельца следующей проверки.",{"title":85,"text":86},"Условная запись приемки","Импорт из согласованного источника работает; проверка ограничений конечного назначения и сетевого пути описана отдельно. Непроверенные переходы остаются открытым вопросом. Это пример планирования, не выполненная проверка приложения клиента.",{"title":88,"paragraphs":89},"Как подготовить техническое обращение",[90,91],"Опишите функцию, ожидаемый ресурс и известную среду без секретов, внутренних адресов и активных тестовых строк. Согласуйте владельца, разрешения и критерии результата. Для действующей проблемы отдельно укажите наблюдаемый вред, не подменяя его одним названием SSRF.","CyberFixCrew - израильская компания по защите сайтов и цифровой инфраструктуры для русскоязычных бизнесов по всему миру. Применяем израильские знания в области кибербезопасности к приложениям, интеграциям и сетевым границам. Согласуем область проверки и приемку нужных рабочих функций.","Перед проверкой серверного назначения",[94,95,96,97,98,99],"Функция и владелец определены.","Понятно, кто влияет на адрес.","Первоначальный адрес отделен от фактического соединения.","DNS, перенаправления и сетевые ограничения учтены.","Приемка охватывает нужный сценарий и ограничения.","Неизвестные области имеют следующий шаг.",[101,104,107],{"question":102,"answer":103},"SSRF и CSRF - одна проблема?","Нет, SSRF связан с серверным обращением приложения к назначению, а CSRF - с запросом, использующим контекст пользователя в браузере. Конкретные меры различаются. Наличие защиты одного вида не подтверждает исправление другого; сначала определите, какой путь и полномочия проверяются.",{"question":105,"answer":106},"Фильтра адреса на странице достаточно?","Нет, клиентская проверка не устанавливает, как сервер обрабатывает адрес и куда фактически соединяется. Нужны ограничения на соответствующих слоях, учет DNS и переходов, а также приемка конкретной реализации. Видимый элемент формы не описывает всю рабочую цепочку.",{"question":108,"answer":109},"Как проверять функцию без риска для чужих систем?","Сначала согласуйте владельца, объекты, среду и разрешенные действия. Используйте безопасные контролируемые ресурсы и критерии, связанные с нужной функцией. Не отправляйте активные испытания в чужую инфраструктуру. Результат должен описывать область, ограничения и следующий шаг.",[111],{"label":27,"url":28},[113,116,119,122,125,128,130],{"path":114,"label":115},"\u002Fglossary\u002Fcsrf","Чем отличается CSRF",{"path":117,"label":118},"\u002Fglossary\u002Fcsp","Политика браузера CSP",{"path":120,"label":121},"\u002Fglossary\u002Ffirewall","Сетевые границы и Firewall",{"path":123,"label":124},"\u002Fblog\u002Fapi-keys-secrets","Доступы интеграций",{"path":126,"label":127},"\u002Fblog\u002Fwebhook-security","Проверка вебхуков",{"path":13,"label":129},"Проверка безопасности сайта",{"path":14,"label":131},"Рабочие интеграции",{"title":133,"description":134,"button":135,"type":136},"Согласуем границы серверной интеграции","Опишите функцию и ожидаемый сервис без секретов. Уточним область, владельцев и критерии результата.","Обсудить серверный запрос","check",[],[],{"name":140,"aliases":141},"SSRF",[142,143,144,145],"Server-Side Request Forgery","ссрф","подделка серверного запроса","подделка запроса",{"path":147,"label":148},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":150,"label":151},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794134064251]