Token synchronizujący CSRF
Klasyczny sposób obrony przed CSRF — ukryta losowa wartość w każdym formularzu, porównywana po stronie serwera.
Inaczej niż ciasteczka SameSite (nowocześniejsze, lżejsze). Potrzebny przy: wysyłaniu formularzy między domenami i starszych klientach. Middleware CSRF w Django i protect_from_forgery w Rails obsługują to automatycznie. Często łączony z wzorcem Double Submit Cookie.