Veiligheidsgids · Veilig vibecoden

Cross-site request forgery (CSRF)

Een andere website laat de browser van je gebruiker ongemerkt acties uitvoeren op jouw site. Zo voorkom je dat.

Expert

Waarom dit ertoe doet

Bij CSRF verleidt een kwaadaardige site de browser van een ingelogde gebruiker om een verzoek naar jouw site te sturen, bijvoorbeeld om een e-mailadres te wijzigen. Omdat de browser de sessiecookie automatisch meestuurt, lijkt het verzoek legitiem.

Moderne browsers en frameworks beschermen al veel, maar alleen als cookies goed zijn ingesteld en acties niet via GET-verzoeken lopen.

De risico's

Hoog
Acties via GET
Een link of afbeelding kan een GET-verzoek triggeren. Wijzigingen horen nooit via GET te gaan.
Hoog
Cookies zonder SameSite
Zonder SameSite-instelling worden cookies meegestuurd bij verzoeken vanaf andere sites.
Hoog
Te ruime CORS-instellingen
Access-Control-Allow-Origin: * in combinatie met credentials opent je API voor elke site.

Checklist

Loop dit na voordat je verder gaat of iets online zet.

Wijzigingen alleen via POST, PUT, PATCH of DELETE.
Sessiecookies met SameSite=Lax of Strict, HttpOnly en Secure.
Controleer bij gevoelige acties de Origin-header, of gebruik CSRF-tokens.
Gebruik de ingebouwde bescherming van je framework (zoals server actions in Next.js, die de origin controleren).
Geen wildcard in CORS voor routes die cookies gebruiken.

Waarom dit ertoe doet

De risico's

Acties via GET

Cookies zonder SameSite

Te ruime CORS-instellingen

Checklist

Waarom dit ertoe doet

De risico's

Acties via GET

Cookies zonder SameSite

Te ruime CORS-instellingen

Checklist