Token sincronizado y doble envío

En el patrón de token sincronizado, el servidor genera un valor imprevisible ligado a la sesión, lo pone en cada formulario (o lo entrega a la página para que lo envíe en una cabecera) y lo exige de vuelta en cada petición que cambia algo. Una página de otro sitio no puede leer el formulario del portal, porque la política del mismo origen le impide leer la respuesta, y por eso no puede incluir el valor.

Para que el patrón sirva tienen que cumplirse cuatro cosas: el valor es imprevisible, está ligado a la sesión, se verifica en el servidor en todos los métodos que cambian estado y su ausencia se trata igual que un valor incorrecto.

Lee proteccion_csrf.py línea por línea, sobre todo la condición final. Un verificador que solo compara cuando el campo viene acepta, sin darse cuenta, las peticiones que no lo traen: justo las que llegarían desde una página ajena, que no lo conoce. Después confírmalo en registro-verificacion.txt.

Las listas de excepciones existen por buenas razones: un aviso de una pasarela de pagos no viene de un navegador y se autentica con su propia firma. El riesgo es la excepción «temporal» que nadie retira. Revisa EXCEPCIONES en el código y pregúntate qué cambia cada ruta exenta y si tiene otro control que la cubra.

Cuando la aplicación no guarda sesión en el servidor se usa el doble envío: el valor va en una cookie y también en una cabecera o un campo, y el servidor comprueba que coincidan. En su forma ingenua, el servidor solo compara dos valores iguales sin saber si los emitió él. La guía de prevención de OWASP la desaconseja, porque quien logre escribir una cookie para el dominio (desde otro host del mismo sitio, por ejemplo) hace que la comparación pase. La variante recomendada firma el valor con una clave del servidor y lo liga a la sesión, de modo que solo valen los que el servidor emitió para esa persona.

Lee simulador-api.txt.

Un token en la URL deja de ser secreto: queda en el historial, en los registros de cada intermediario y en la cabecera Referer de la siguiente página. Va en un campo oculto del formulario o en una cabecera, nunca en la cadena de consulta. Revisa registro-acceso.txt y su nota final.