Un token anti-CSRF è un valore segreto e imprevedibile associato a una sessione o a un modulo e richiesto per richieste che modificano lo stato, come modifiche, cambiamenti dell'account o eliminazioni. CSRF sta per cross-site request forgery: un attacco in cui il browser della vittima viene indotto con l'inganno a inviare una richiesta che non intendeva fare. Verificando che la richiesta includa il token corretto, un server può confermare che l'azione provenga da un client autorizzato che ha effettivamente caricato la pagina legittima o il flusso API.
Questi token sono importanti perché proteggono i percorsi di scrittura, non solo gli accessi. In pratica, piattaforme come i sistemi di gestione dei contenuti, la webmail e i software wiki li usano per bloccare invii contraffatti provenienti da siti malevoli o da strumenti automatici. Un attaccante che disponga solo di un cookie di sessione potrebbe comunque fallire se il token manca o non è valido. I difensori usano la convalida del token insieme ad autenticazione, limitazione della velocità e registrazione per ridurre le modifiche non autorizzate. I token anti-CSRF non impediscono tutti gli abusi, ma rendono molto più difficili gli attacchi di scrittura silenziosi e cross-site.