הגדרת הגנת CSRF: טוקנים, עוגיות SameSite, אימות

תארו לעצמכם: האתר שלכם משתמש בקוקיות סשן, ומשתמש מאומת עוקב אחרי קישור לאתר זדוני. אותו אתר שולח בקשת POST לשינוי סיסמה — וללא אסימוני CSRF, הבקשה עוברת. פגיעות זו היא חלק מOWASP Top 10, ולפי סטטיסטיקות, עד 70% מהפרויקטים הישנים אינם מוגנים כלל. אנו נתקלים בכאב זה לעיתים קרובות בפרויקטים שבהם ההגנה חסרה או מיושמת באופן לא עקבי. לצוות שלנו יש ניסיון של למעלה מ-10 שנים באבטחת אינטרנט, עם ביצוע של למעלה מ-50 ביקורות והטמעות CSRF. המשימה שלנו היא לסגור פגיעות זו לצמיתות במפתח פתוח, עם אחריות ותיעוד.

בעיות שאנו פותרים

• קוקיות סשן מצורפות אוטומטית על ידי הדפדפן — תוקף צריך רק להציג לקורבן טופס בדומיין שלו. עד 70% מהאתרים על מסגרות עבודה מיושנות (למשל, PHP ללא מסגרת עבודה) אינם מוגנים כלל.
• הגדרת SameSite שגויה של קוקיות — מפתחים רבים מגדירים None לנוחות, ופותחים דלת ל-CSRF. אנו מתקנים זאת ובוחרים בין Lax ל-Strict תוך התחשבות בחוויית המשתמש.
• בקשות AJAX נשכחות — יישומי SPA פגיעים אם אסימוני CSRF לא מועברים בכותרת. אנו מגדירים העברה אוטומטית עבור Axios, Fetch, jQuery.

איך אנחנו עושים זאת: מקרה בוחן של Laravel Sanctum עבור SPA

נבחן פרויקט טיפוסי: חזית React על Next.js, צד שרת על Laravel עם Sanctum. הלקוח מתלונן על שגיאות 419 בעת שליחת טפסים. הבעיה: Sanctum משתמש בתבנית Double Submit Cookie, אך החזית לא קראה את קוקיית XSRF-TOKEN.

פתרון:

1. ב-Laravel config/sanctum.php, ציינו 'stateful' עם דומיינים של לקוחות.
2. בחזית, הגדירו axios.defaults.withCredentials = true.
3. קראו את XSRF-TOKEN מהקוקייה והעבירו אותה בכותרת X-XSRF-TOKEN:

// Axios interceptor
axios.interceptors.request.use(config => {
  const token = document.cookie
    .split('; ')
    .find(row => row.startsWith('XSRF-TOKEN='))
    ?.split('=')[1];
  if (token) {
    config.headers['X-XSRF-TOKEN'] = token;
  }
  return config;
});

תוצאה — שגיאות 419 נעלמו, האבטחה מובטחת. כל התהליך ארך יומיים, כולל בדיקות.

תהליך העבודה

1. ניתוח — ביקורת על הארכיטקטורה הנוכחית: אימות סשן או אסימון, אילו טפסים ונקודות קצה של API יש להגן.
2. עיצוב — בחירת שיטות: אסימוני CSRF, SameSite, Double Submit, או שילוב. קביעת חריגים (webhooks).
3. הטמעה — פריסה בצד השרת (middleware, יצירת אסימונים) ובחזית (הגדרות גלובליות של לקוח HTTP).
4. בדיקות — יצירת דף זדוני, אימות חסימת בקשות, בדיקות אוטומטיות.
5. פריסה — פריסה לסביבת staging, בדיקה, ניטור אחר שגיאות 419/403.

מה כלול בהתקנה במפתח פתוח

• שילוב הגנת CSRF לכל הבקשות המשנות (POST, PUT, DELETE).
• הגדרת קוקיית SameSite עם ערך אופטימלי.
• טיפול בחריגים (Stripe, GitHub webhooks) עם אימות חלופי.
• תמיכה ב-SPA (Sanctum, JWT) ובטפסים קלאסיים.
• תיעוד תפעולי והדרכת צוות.
• חודש של תמיכה לאחר ההשקה.

לוחות זמנים ועלות משוערים

העלות מחושבת באופן אישי לפי המחסן הטכנולוגי וההיקף שלכם. אנו מעריכים את הפרויקט תוך יום אחד — צרו קשר לייעוץ. התקנת CSRF בסיסית מתחילה מ-$500, וחוסכת פוטנציאלית $100k+ בעלויות פריצה.

בחירה בין SameSite=Lax ל-Strict

// Axios interceptor axios.interceptors.request.use(config => { const token = document.cookie .split('; ') .find(row => row.startsWith('XSRF-TOKEN=')) ?.split('=')[1]; if (token) { config.headers['X-XSRF-TOKEN'] = token; } return config; }); אינו שולח קוקיות בבקשות חוצות-אתר כלשהן — זה מאובטח אך שובר ניווט מקישורים חיצוניים (למשל, דוא"ל). SameSite=Strict מאפשר שליחה בניווטי GET, חוסם POST, וזו פשרה.

הניסיון שלנו (למעלה מעשר שנות הטמעה) מראה ש-Lax הוא הבחירה עבור 80% מהפרויקטים. גישת שילוב אסימון + SameSite יעילה ב-99.9%, לעומת 95% עבור SameSite בלבד. אם נדרשת אבטחה מקסימלית, אנו משתמשים ב-Lax עם דף נחיתה לקישורים חיצוניים.

הגנה על בקשות AJAX מפני CSRF

טעות אופיינית: האסימון אינו מתחדש לאחר התחברות או פג לפני הסשן. בדקו:

• תגית meta נוצרת ב-Blade (או מקבילה) בעת טעינת הדף.
• עבור SPA, יש לחדש את האסימון דרך קוקיית XSRF-TOKEN (Sanctum) או נקודת קצה נפרדת.
• אם משתמשים ב-Strict בטפסים, ודאו שהם לא נשמרים במטמון.

import axios from 'axios';

function App() {
  useEffect(() => {
    axios.get('/sanctum/csrf-cookie').then(() => {
      // токен уже в cookie XSRF-TOKEN
    });
  }, []);

  const handleSubmit = async () => {
    await axios.post('/api/form', data);
  };
}

public function handle($request, Closure $next) {
    $origin = $request->header('Origin');
    if ($request->isMethod('POST') && $origin && !in_array($origin, $allowed)) {
        abort(403, 'Forbidden origin');
    }
    return $next($request);
}