// Glossario IT
Cross-Site Request Forgery (CSRF)
Un attacco che induce il browser di un utente autenticato a eseguire un'azione indesiderata su un sito senza il suo consenso.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Il CSRF (Cross-Site Request Forgery) sfrutta il fatto che il browser invia automaticamente i cookie di sessione con ogni richiesta verso un sito, anche se la richiesta è stata originata da una pagina malevola diversa: se l'utente è già autenticato su un sito, una pagina esterna può indurre il suo browser a inviare una richiesta (es. cambiare la password, effettuare un trasferimento) che il sito interpreta come legittima.
Perché conta
È per questo che le applicazioni web moderne includono un token CSRF univoco in ogni modulo che esegue un'azione, verificato lato server prima di accettare la richiesta: senza quel token, anche una richiesta con i cookie di sessione corretti viene rifiutata. Un'applicazione senza questa protezione può essere sfruttata semplicemente inducendo la vittima a visitare una pagina appositamente costruita.