Django CSRF Token Hatası (403 Forbidden) Nasıl Çözülür? 5 Kesin Çözüm (2026)

? CSRF Koruması Nasıl Çalışır?

❌ Yaygın Hata Mesajları

# Hata 1: Template'de token eksik
Forbidden (403)
CSRF verification failed. Request aborted.
Reason given for failure:
    CSRF token missing or incorrect.

# Hata 2: AJAX'ta header eksik
403 Forbidden - CSRF token missing

# Hata 3: Middleware devre dışı
ImproperlyConfigured: CSRF middleware not installed

❌ Yanlış Kullanım (Token Yok)

<!-- templates/contact.html -->
<form method="post" action="/contact/">
    <input type="text" name="name" placeholder="Adınız">
    <input type="email" name="email" placeholder="Email">
    <button type="submit">Gönder</button>
</form>

✅ Doğru Kullanım (Token Eklendi)

<!-- templates/contact.html -->
<form method="post" action="/contact/">
    {% csrf_token %}
    <input type="text" name="name" placeholder="Adınız">
    <input type="email" name="email" placeholder="Email">
    <button type="submit">Gönder</button>
</form>

JavaScript Fetch API ile CSRF

// Cookie'den CSRF token'ı al
function getCookie(name) {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}

const csrftoken = getCookie('csrftoken');

// Fetch ile POST isteği
fetch('/api/submit/', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
        'X-CSRFToken': csrftoken
    },
    body: JSON.stringify({ name: 'Test', email: 'test@example.com' })
})
.then(response => response.json())
.then(data => console.log('Başarılı:', data))
.catch(error => console.error('Hata:', error));

jQuery AJAX ile CSRF

// jQuery ile CSRF token ayarlama
function csrfSafeMethod(method) {
    return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

$.ajaxSetup({
    beforeSend: function(xhr, settings) {
        if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
            xhr.setRequestHeader("X-CSRFToken", getCookie('csrftoken'));
        }
    }
});

// Artık tüm AJAX istekleri otomatik token gönderir
$.post('/api/submit/', {
    name: 'Test',
    email: 'test@example.com'
}, function(data) {
    console.log('Başarılı:', data);
});

Axios ile Global CSRF Ayarı

// axios-config.js
import axios from 'axios';

// CSRF token'ı cookie'den al
const csrftoken = document.cookie
    .split('; ')
    .find(row => row.startsWith('csrftoken='))
    ?.split('=')[1];

// Tüm isteklere otomatik ekle
axios.defaults.headers.common['X-CSRFToken'] = csrftoken;
axios.defaults.withCredentials = true;

export default axios;

@csrf_exempt Decorator

# views.py
from django.views.decorators.csrf import csrf_exempt
from django.http import JsonResponse
import json

@csrf_exempt
def webhook_endpoint(request):
    """
    Dış servislerden gelen webhook'lar için CSRF kontrolü devre dışı
    ÖNEMLİ: Sadece güvenli authentication mekanizması olan endpoint'lerde kullanın
    """
    if request.method == 'POST':
        try:
            data = json.loads(request.body)
            # Webhook işleme mantığı
            return JsonResponse({'status': 'success', 'message': 'Webhook alındı'})
        except json.JSONDecodeError:
            return JsonResponse({'status': 'error', 'message': 'Geçersiz JSON'}, status=400)
    return JsonResponse({'status': 'error', 'message': 'Sadece POST'}, status=405)

Class-Based View'de CSRF Exempt

# views.py
from django.views import View
from django.utils.decorators import method_decorator
from django.views.decorators.csrf import csrf_exempt

@method_decorator(csrf_exempt, name='dispatch')
class StripeWebhookView(View):
    """
    Stripe webhook'ları için CSRF bypass
    Stripe signature doğrulaması yapıyor, CSRF'ye gerek yok
    """
    def post(self, request):
        payload = request.body
        sig_header = request.META['HTTP_STRIPE_SIGNATURE']

        # Stripe signature doğrulama
        # ... (webhook işleme kodu)

        return JsonResponse({'status': 'success'})

settings.py Doğru Yapılandırma

# settings.py
MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',  # ✅ MUTLAKA OLMALI
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

# CSRF Cookie Ayarları
CSRF_COOKIE_SECURE = True  # Production'da HTTPS için
CSRF_COOKIE_HTTPONLY = False  # JavaScript'in cookie'ye erişmesi için False
CSRF_COOKIE_SAMESITE = 'Lax'  # Veya 'Strict' (third-party cookie engeller)
CSRF_TRUSTED_ORIGINS = [
    'https://yourdomain.com',
    'https://www.yourdomain.com',
]

SameSite Ayarları Tablosu

Production Ayarları (settings.py)

# settings.py - Production ortamı için
import os

# CSRF Ayarları
CSRF_COOKIE_SECURE = True  # HTTPS zorunlu
CSRF_COOKIE_SAMESITE = 'Lax'  # Çoğu use case için yeterli
CSRF_USE_SESSIONS = False  # Cookie kullan (default)

# Session Ayarları
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_SAMESITE = 'Lax'

# Güvenilen domainler
CSRF_TRUSTED_ORIGINS = [
    'https://alestaweb.com',
    'https://www.alestaweb.com',
    'https://api.alestaweb.com',
]

# HTTPS redirect
SECURE_SSL_REDIRECT = True
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')

1️⃣ Nginx Reverse Proxy Ayarları

# /etc/nginx/sites-available/django-app
server {
    listen 443 ssl http2;
    server_name alestaweb.com;

    # SSL Sertifikaları
    ssl_certificate /etc/letsencrypt/live/alestaweb.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/alestaweb.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;  # ✅ HTTPS için önemli

        # CSRF cookie'lerinin düzgün iletilmesi
        proxy_cookie_path / "/; Secure; HttpOnly; SameSite=Lax";
    }
}

2️⃣ Docker Compose ile CSRF Ayarları

# docker-compose.yml
version: '3.8'

services:
  web:
    build: .
    command: gunicorn config.wsgi:application --bind 0.0.0.0:8000
    volumes:
      - .:/app
    environment:
      - DJANGO_SETTINGS_MODULE=config.settings.production
      - CSRF_COOKIE_SECURE=True
      - SESSION_COOKIE_SECURE=True
      - CSRF_TRUSTED_ORIGINS=https://alestaweb.com,https://www.alestaweb.com
    ports:
      - "8000:8000"
    depends_on:
      - db

  db:
    image: postgres:15
    environment:
      - POSTGRES_DB=django_db
      - POSTGRES_USER=django_user
      - POSTGRES_PASSWORD=secure_password

3️⃣ Logging ve Monitoring

# settings.py - CSRF hatalarını loglama
LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'handlers': {
        'file': {
            'level': 'WARNING',
            'class': 'logging.FileHandler',
            'filename': '/var/log/django/csrf_errors.log',
        },
    },
    'loggers': {
        'django.security.csrf': {
            'handlers': ['file'],
            'level': 'WARNING',
            'propagate': False,
        },
    },
}

✅ Yapılması Gerekenler

• Her form'da {% csrf_token %}: Template'lerde asla unutmayın
• AJAX'ta X-CSRFToken header: JavaScript isteklerinde mutlaka ekleyin
• HTTPS kullanın: Production'da CSRF_COOKIE_SECURE=True
• Trusted origins: CSRF_TRUSTED_ORIGINS listesini güncel tutun
• SameSite=Lax: Modern tarayıcı uyumluluğu için

❌ Yapılmaması Gerekenler

• @csrf_exempt aşırı kullanmak: Sadece API endpoint'lerinde, alternatif auth ile
• CSRF middleware silmek: MIDDLEWARE'den asla çıkarmayın
• HTTP'de SECURE=True: Development'ta False, production'da True olmalı
• Wildcard origins: CSRF_TRUSTED_ORIGINS=['*'] güvenlik açığıdır
• HttpOnly=True (CSRF için): JavaScript erişemez, AJAX çalışmaz