¿Insertar de forma segura un widget que envía formularios a nuestros servidores en sitios web de terceros?

El hecho de que esté incorporando esto como un widget no es tan relevante para la mayoría de los aspectos de seguridad. La mayoría de los ataques se dirigirían directamente al punto final, sin pasar por alto el formulario, el widget y el navegador. Por ejemplo, necesitarías el captcha sin importar si creas un widget o no, porque el spam se envía con scripts automatizados y no se realiza a través de los navegadores.

Sin embargo, puede limitar los orígenes que pueden enviar solicitudes a sus puntos finales desde un navegador. Esto se haría usando CORS , solo permitiendo algunos orígenes en el encabezado de Access-Control-Allow-Origin .

El truco para hacer que esto funcione es que la solicitud no debe ser "simple", es decir, debe desencadenar una verificación previa. Una forma ordinaria POST es simple, por lo que no lo hará. Tendría que cambiar el verbo, o requerir que un encabezado específico esté presente en la solicitud o algo así. Vea el enlace anterior para lo que se considera "simple" y lo que no lo es.

Sin embargo, tenga en cuenta que es el navegador el que hace cumplir la política CORS. Un atacante aún puede enviar cualquier solicitud que desee, por ejemplo. RIZO. También tenga en cuenta que incluso si no crea un widget, cualquiera puede crear un formulario que publique en su punto final en su propia página web.