Siteler arası istek sahteciliği

Tarayıcı, başka siteden gelen forma da oturum çerezini ekler. Sunucu niyeti ayırt etmezse işlem yapılır.

Jeton

Formda, oturuma bağlı ve tek kullanımlık jeton vardır. Jeton yoksa veya uyuşmuyorsa yazma reddedilir.

SameSite

SameSite bunu daraltır, jetonun yerine geçmez. Eski tarayıcı ve alt alan hâlâ jeton ister.

GET

Yazma, adres satırıyla yapılmaz. Adres, resim olarak da yüklenebilir.

API

Tarayıcı dışı API çerez taşımaz, başlıkta jeton taşır. Çerez ve başlık aynı uçta karışırsa tarayıcı istemcisi açık kalır.