Проверка сайта на CSRF уязвимости

CSRF (Cross-Site Request Forgery) позволяет злоумышленнику выполнять действия от имени авторизованного пользователя без его ведома. Неправильная настройка CSRF-токенов, SameSite cookie и CORS может привести к несанкционированным операциям: переводам средств, смене пароля, удалению аккаунта.

Что проверяется

Наличие и корректность CSRF-токенов
SameSite атрибут cookie
CORS конфигурация (Access-Control-Allow-Origin)
Wildcard origin разрешения
Credentials заголовки
Preflight запросы (OPTIONS)
Двойная отправка cookie (Double Submit Cookie)
Referer и Origin header валидация

Почему важно проверять CSRF

Несанкционированные действия.CSRF-атака позволяет изменить email, пароль, совершить покупку или перевод средств от имени жертвы, которая просто открыла вредоносную страницу.

Обход CORS. Неправильная конфигурация CORS с wildcard origin позволяет сторонним сайтам делать запросы к вашему API от имени пользователя, что усиливает риски CSRF.

OWASP Top 10. Хотя CSRF сместился в расширенный список, он остаётся критичной уязвимостью для приложений с привилегированными операциями.

Проверьте защиту от CSRF

Базовая проверка занимает 30 секунд и не требует регистрации