Ce este cookie-ul csrf_cookie_name?
csrf_cookie_name este numele generic pe care CodeIgniter (framework PHP folosit pentru dezvoltarea de site-uri și aplicații web) îl atribuie implicit cookie-ului său de protecție CSRF. În practică, administratorii de site-uri pot redenumi acest cookie în configurație, dar valoarea „csrf_cookie_name" rămâne denumirea standard din documentația și codul sursă al framework-ului.
Cookie-ul este setat de server (nu de un script terț) în momentul în care un utilizator încarcă o pagină ce conține un formular protejat CSRF – de exemplu un formular de login, de contact sau de checkout. El apare, deci, doar pe site-urile construite cu CodeIgniter care au activată protecția CSRF.
Ce date stochează
Cookie-ul stochează un token (șir de caractere generat aleatoriu) care trebuie să corespundă cu un câmp ascuns identic trimis în formularul HTML. Formatul exact al valorii poate varia în funcție de versiunea CodeIgniter și de configurația proiectului, dar practic conține doar un identificator unic de sesiune/formular, fără date personale identificabile.
Valoarea este citită și verificată exclusiv de serverul care a generat-o (aplicația CodeIgniter de pe site), nu este trimisă către terți și nu este folosită în scopuri de urmărire sau publicitate.
La ce folosește
Rolul cookie-ului este să prevină atacurile CSRF, în care un site rău-intenționat ar putea încerca să trimită, în numele utilizatorului autentificat, cereri către aplicația vizată (de exemplu schimbarea parolei sau efectuarea unei plăți) fără știrea acestuia. Prin compararea tokenului din cookie cu cel din formular, aplicația verifică faptul că cererea provine efectiv din formularul afișat de site, nu dintr-o sursă externă.
Pentru administratorul site-ului, acest cookie este parte din mecanismul de securitate al aplicației, nu un instrument de analiză sau marketing.
Are nevoie de consimțământ?
În clasificarea CookieFix, csrf_cookie_name este încadrat la categoria strict necesar. Conform Regulamentului GDPR și Directivei ePrivacy (transpusă în România prin Legea 506/2004), cookie-urile strict necesare funcționării unui serviciu solicitat explicit de utilizator (aici, trimiterea în siguranță a unui formular) nu necesită consimțământ prealabil.
- Nu este nevoie de acceptarea lui în bannerul de consimțământ.
- Trebuie totuși menționat, cu scop și durată, în politica de cookie-uri a site-ului, conform obligației de transparență.
- Administratorul nu ar trebui să-l blocheze prin CMP, deoarece dezactivarea lui poate face formularele nefuncționale.
Cum blochezi sau ștergi csrf_cookie_name
Un vizitator poate șterge sau bloca acest cookie din setările browserului (Chrome, Firefox, Safari, Edge – secțiunea de gestionare a cookie-urilor pentru site-uri specifice), însă acest lucru poate genera erori de tip „token CSRF invalid" la trimiterea formularelor, deoarece cookie-ul este necesar pentru funcționarea corectă a paginii.
Deoarece este strict necesar, un CMP precum CookieFix nu ar trebui să blocheze acest cookie înainte de consimțământ, spre deosebire de cookie-urile de statistici sau marketing, pe care le poate ține blocate automat până când vizitatorul își exprimă acordul.
Întrebări frecvente
Este un cookie tehnic setat de framework-ul PHP CodeIgniter pentru a proteja formularele site-ului împotriva atacurilor CSRF (Cross-Site Request Forgery).
Nu. Nu este folosit pentru analiză, publicitate sau profilare, ci exclusiv pentru validarea securizată a formularelor.
Nu, este clasificat ca strict necesar și poate fi setat fără acordul prealabil al utilizatorului, dar trebuie declarat în politica de cookie-uri.
Formularele protejate CSRF de pe site (login, contact, checkout etc.) pot returna eroare la trimitere, deoarece serverul nu mai poate verifica autenticitatea cererii.