Le framework de protection CSRF

En plus du filtre Apache Sling Referrer, Adobe fournit également un nouveau framework de protection CSRF pour se protéger contre ce type d’attaque.

Le framework utilise des jetons pour garantir que la demande du client est légitime. Les jetons sont générés lorsque le formulaire est envoyé au client et validé lorsque le formulaire est renvoyé au serveur.

REMARQUE

Il n’existe aucun jeton sur les instances de publication pour les utilisateurs anonymes.

Conditions requises

Dépendances

Tout composant associé à la dépendance granite.jquery bénéficie automatiquement du framework de protection CSRF. Si ce n’est pas le cas pour l’un de vos composants, vous devez déclarer une dépendance à granite.csrf.standalone avant de pouvoir utiliser le framework.

Réplication de la clé de chiffrement

Pour utiliser les jetons, vous devez répliquer le binaire /etc/keys/hmac sur toutes les instances de votre déploiement. Un moyen pratique de copier la clé HMAC sur toutes les instances consiste à créer un module contenant la clé et à l’installer via le gestionnaire de modules sur toutes les instances.

REMARQUE

Assurez-vous également d’effectuer les modifications de configuration du dispatchernécessaires pour utiliser le framework de protection CSRF.

REMARQUE

Si vous utilisez le cache de manifeste avec votre application Web, veillez à ajouter "*" au manifeste afin de vous assurer que le jeton n’effectue pas l’appel de génération de jeton CSRF hors ligne. Pour plus d’informations, consultez ce lien.

Pour plus d’informations sur les attaques CSRF et les moyens de s’en protéger, consultez la page Cross-Site Request Forgery OWASP.

Sur cette page

Adobe Summit Banner

A virtual event April 27-28.

Expand your skills and get inspired.

Register for free
Adobe Summit Banner

A virtual event April 27-28.

Expand your skills and get inspired.

Register for free