Falsification de requête intersite (CSRF)
CSRF · XSRF · cross-site request forgery · sea surf · falsification de requête inter-sites
Attaque qui pousse le navigateur d’un utilisateur connecté à envoyer à son insu une requête d’apparence légitime (changement d’adresse e-mail, virement, suppression) vers un site où sa session est ouverte.
En pratique
Le navigateur joint automatiquement les cookies de session à chaque requête vers un site. Si l’application ne vérifie pas que la demande provient bien de ses propres pages, une page piégée consultée ailleurs peut déclencher l’action à la place de l’utilisateur. Les navigateurs récents limitent ce risque grâce à l’attribut SameSite des cookies, mais cette protection ne suffit pas seule. Dans l’OWASP Top 10:2025, la CSRF relève du contrôle d’accès défaillant (A01).
Exemple fictif : un administrateur, connecté à la console de gestion de son pare-feu, ouvre un article piégé dans un autre onglet. La page envoie discrètement une demande de création de compte à la console ; sans jeton anti-CSRF, celle-ci l’accepte, et l’attaquant dispose d’un accès administrateur.
Comment s’en protéger
- Jetons anti-CSRF uniques et imprévisibles sur toute action qui modifie des données (souvent fournis par le framework).
- Cookies de session avec l’attribut SameSite=Lax ou Strict.
- Vérifier côté serveur les en-têtes Origin ou Sec-Fetch-Site.
- Redemander le mot de passe ou la double authentification pour les actions sensibles.
- Corriger les failles XSS, qui permettent de contourner ces protections.
