CSRF (Siteler Arası İstek Sahtekarlığı) Nedir? Kapsamlı Rehber ve Korunma Yolları

Bu Konu Hakkında Bilmeniz Gerekenler

CSRF (Cross-Site Request Forgery), kötü niyetli web sitelerinin, kullanıcıların halihazırda oturum açmış olduğu güvenilir web sitelerinde istem dışı işlemler gerçekleştirmesini sağlayan kritik bir siber güvenlik açığıdır.

CSRF saldırıları genellikle kullanıcıların tarayıcılarının kimlik doğrulama bilgilerini (çerezler vb.) hedef alır. Bir kullanıcı, zararlı bir bağlantıya tıkladığında veya içinde gizli bir form barındıran bir siteyi ziyaret ettiğinde, tarayıcısı arka planda hedef siteye otomatik olarak istek gönderir. Hedef site, bu isteğin kullanıcının kendi iradesiyle değil, başka bir site üzerinden yönlendirildiğini anlayamaz ve işlemi gerçekleştirir. Bu durum şifre değiştirme, para transferi veya yetki yükseltme gibi kritik işlemlerde büyük güvenlik riskleri doğurur.

• ✓ Anti-CSRF (CSRF Token) mekanizmaları kullanarak her oturum veya istek için benzersiz ve tahmin edilemez belirteçler üretin.
• ✓ Çerezlerinizde ‘SameSite’ özniteliğini ‘Strict’ veya ‘Lax’ olarak yapılandırarak dış kaynaklı isteklerde çerezlerin gönderilmesini engelleyin.
• ✓ Hassas işlemler (şifre güncelleme, e-posta değiştirme vb.) için kullanıcılardan ek doğrulama (mevcut şifre, SMS/E-posta doğrulama kodu) isteyin.
• ✓ GET yerine POST, PUT ve DELETE gibi durum değiştiren HTTP metotlarını doğru bir şekilde uygulayın.