Fetch Metadata : lire le contexte des requêtes pour renforcer la protection CSRF

Les quatre en-têtes Fetch Metadata indiquent au serveur d’où vient une requête et comment sa réponse sera utilisée. Andrew Lock détaille Sec-Fetch-Site, Sec-Fetch-Mode, Sec-Fetch-Dest et Sec-Fetch-User pour aider à distinguer, par exemple, une navigation légitime d’une requête intersite suspecte.

Des exemples opposent le chargement d’une image depuis un CDN à un fetch() JavaScript. Ces signaux, que JavaScript ne peut pas modifier, peuvent alimenter une Resource Isolation Policy et ajouter une couche de défense contre les requêtes CSRF.