CSRF nedir? Cookie'lerdeki HttpOnly, Secure ve SameSite özellikleri neyi korur?

CSRF (Cross-Site Request Forgery), kullanıcı başka bir sitedeyken tarayıcının cookie'leri otomatik göndermesinden faydalanıp kullanıcı adına istek yaptırmaktır. Örneğin kötü niyetli bir sayfadaki gizli form, kullanıcının oturum açık olduğu bankaya para transferi isteği gönderir.

<!-- evil.com -->
<form action="https://bank.com/transfer" method="POST">
  <input type="hidden" name="to" value="saldirgan" />
  <input type="hidden" name="amount" value="10000" />
</form>
<script>document.forms[0].submit()</script>

Cookie özellikleri

Set-Cookie: session=abc; HttpOnly; Secure; SameSite=Lax; Path=/

CSRF korunma yöntemleri

• SameSite=Lax/Strict cookie'ler (ilk savunma hattı).
• CSRF token: Sunucunun ürettiği, formla/başlıkla gönderilen ve saldırganın bilemeyeceği bir değer.
• Origin / Sec-Fetch-Site başlıklarını sunucuda kontrol etmek.
• Durum değiştiren işlemleri asla GET ile yapmamak.
• Hassas işlemlerde yeniden kimlik doğrulama.

Not: Token'ı Authorization header'ında gönderen (cookie kullanmayan) API'ler CSRF'e karşı doğal olarak korunur ama bu kez token'ın XSS'e karşı nasıl saklandığı önemli hale gelir. HttpOnly CSRF'i önlemez; XSS'e karşı koruma sağlar.