.webp)
Qu’est-ce que CSRF ?
CSRF signifie "Cross-Site Request Forgery", en français "falsification de requête inter-site".
Il s'agit d'une attaque informatique visant à tromper un utilisateur pour exécuter une action non autorisée sur un site web.
Lorsqu’un utilisateur est connecté à un site légitime, un pirate peut exploiter cette session active pour envoyer à son insu des requêtes malveillantes.
Ce type d’attaque vise à prendre appui sur la confiance accordée par le site à l’utilisateur authentifié.
À quoi sert CSRF ?
CSRF n'est pas une fonctionnalité utile, mais une faille de sécurité critique à éviter.
Comprendre le CSRF permet de protéger les applications web contre des actions indésirables comme le changement de mot de passe ou un virement bancaire initié sans le consentement de l'utilisateur.
Pour les entreprises, cela concerne tous les systèmes où des utilisateurs interagissent via des sessions authentifiées : outils RH, ERP, CRM, etc.
Un site vulnérable au CSRF met en danger non seulement les utilisateurs, mais aussi les données internes et les actifs stratégiques.
Comment fonctionne CSRF ?
Le principe repose sur l’exploitation de la session active de l’utilisateur sur un site de confiance.
L’attaquant incite cet utilisateur à visiter ou interagir avec un autre site malveillant. Ce dernier lui fait déclencher à son insu une action vers le site légitime.
Par exemple, en cliquant sur un lien sur un site tiers, l’utilisateur envoie involontairement une commande à son interface bancaire encore ouverte.
Comme la session est toujours valide, le site cible considère la requête comme authentique.
Différences avec des notions proches
CSRF est souvent confondu avec une autre attaque : le XSS (Cross-Site Scripting).
Le XSS consiste à injecter du code malveillant dans une page web, que d'autres utilisateurs vont exécuter via leur navigateur.
CSRF, lui, ne repose pas sur une injection de code, mais sur une action indésirable déclenchée par l'utilisateur à son insu.
Le XSS attaque l'utilisateur d’un site. Le CSRF utilise l’utilisateur pour attaquer le site.
Exemples ou cas d’usage concrets
Un salarié est connecté à une plateforme RH pour gérer ses congés. Il visite ensuite un site externe contenant une image malveillante intégrée avec un lien déguisé.
En affichant cette image, une requête POST est automatiquement envoyée pour modifier ses données personnelles ou accorder une autorisation anormale.
Dans un outil de gestion bancaire en ligne, l'utilisateur connecté clique sur un faux lien reçu par email. Celui-ci exécute une commande de virement sans alerte ni confirmation.
Dans un tableau de bord d'administration d’un site e-commerce, un clic peut déclencher à l’insu du manager la suppression d’un produit ou la modification d’un prix.
Ces actions ne peuvent pas être interceptées si aucune protection côté serveur, comme des jetons (tokens) anti-CSRF, n’est mise en place.
La prévention passe par des bonnes pratiques de sécurité, comme vérifier systématiquement l’origine des requêtes ou utiliser des jetons uniques par session.