CSRF: Sua API web utiliza cookies de sessão (enviados automaticamente pelo navegador) para autenticar usuários. Qual prática a seguir é recomendada para evitar ataques Cross-Site Request Forgery (CSRF)?
Sua API web utiliza cookies de sessão (enviados automaticamente pelo navegador) para autenticar usuários. Qual prática a seguir é recomendada para evitar ataques Cross-Site Request Forgery (CSRF)?
Verificar apenas o cabeçalho Referer e permitir a requisição caso ele contenha o domínio da aplicação.
Gerar e validar um token anti-CSRF único e imprevisível em cada requisição que altere estado (POST, PUT, DELETE).
Aceitar somente métodos HTTP idempotentes (GET, HEAD) para todas as operações de escrita.
Exigir autenticação Basic em cada requisição, pois envia credenciais em cabeçalhos e não em cookies.
Habilitar CORS apenas para o domínio da aplicação, sem nenhuma verificação adicional.
Desbloqueie explicações detalhadas
Assine o plano Premium e tenha acesso a explicações completas e análises aprofundadas de cada questão.