CSRF — Cross-Site Request Forgery (Falsification de requête intersites)

Définition

La Cross-Site Request Forgery, ou CSRF, est une attaque qui force un utilisateur préalablement authentifié à exécuter involontairement une action sur une application web à laquelle il est effectivement connecté, sans qu'il en ait conscience ni n'y ait consenti, en exploitant le fait que le navigateur transmet automatiquement les cookies de session existants avec toute requête adressée au domaine concerné, y compris lorsque cette requête provient d'une page tierce entièrement distincte. L'attaquant construit une page web malveillante contenant des requêtes préformées, formulaires cachés soumis automatiquement au chargement, balises image dont l'URL déclenche une requête GET porteuse d'une action, ou appels fetch JavaScript, qui se déclenchent dès que la victime authentifiée charge cette page piégée, généralement via un lien reçu par email ou consulté sur un site tiers compromis. Ces requêtes déclenchent alors des actions réelles sur l'application ciblée, changement de mot de passe, virement bancaire, modification de coordonnées, avec l'autorité pleine et entière de la session légitime de la victime, l'application ne pouvant distinguer une requête authentique initiée volontairement d'une requête forgée à son insu. La prévention repose sur l'usage systématique de jetons CSRF uniques et imprévisibles associés à chaque formulaire sensible, ainsi que sur l'attribut SameSite des cookies limitant leur transmission entre origines distinctes.