La page d'Alsacreations explique la vulnérabilité CSRF (Cross-Site Request Forgery), classée parmi les risques critiques par l'OWASP. Elle repose sur l'envoi automatique des cookies par le navigateur, permettant à un site tiers d'effectuer des actions au nom d'un utilisateur connecté sans son consentement. Par exemple, un lien malveillant ou un formulaire caché peut déclencher une requête vers un service bancaire, exploitant la session active de la victime.

Contrairement à une idée reçue, l'utilisation de requêtes POST ne suffit pas à se prémunir contre les CSRF, car un formulaire peut être soumis automatiquement via JavaScript. La méthode POST améliore la sécurité, mais une protection supplémentaire est nécessaire. La solution la plus efficace consiste à intégrer un token CSRF, une valeur aléatoire unique générée par le serveur et vérifiée à chaque soumission de formulaire, empêchant ainsi les requêtes non autorisées.