← Все ответы Босса general

Почему сайт не защищён от CSRF в админке?

Коротко: Админка уязвима для CSRF, если сервер принимает изменяющие состояние запросы без проверки уникального токена, полагаясь только на автоматически отправляемые браузером cookie.

Пошаговый план

  1. Проверить защиту Убедитесь, что все POST, PUT, PATCH и DELETE-запросы требуют валидный CSRF-токен и отклоняются без него.
  2. Настроить cookie Установите для сессионных cookie атрибуты Secure, HttpOnly и SameSite=Lax или Strict.
  3. Усилить контроль Проверяйте заголовки Origin и Referer, запретите изменяющие операции через GET и добавьте повторную аутентификацию для критических действий.
  • Если не помогло — возможно, дело не в сайте, а в бизнес-модели. Я умею и с этим.
  • Все совпадения с вашей ситуацией не случайны. Я пишу из опыта, а не из головы.
  • Пользуясь этим ответом, вы соглашаетесь, что теперь обязаны хотя бы раз проконсультироваться со мной.
  • Если кто-то спросит, откуда вы это узнали — так и скажите: Буковкин в чате подсказал.
  • Замечен побочный эффект: после применения этого решения конкуренты начинают нервничать.

Нужен разбор вашей ситуации?

База ответов — это общие решения. Ваш проект может требовать индивидуального подхода.

Обратиться ко мне Напишите прямо в чат-виджет в углу экрана — я на связи