> ## Documentation Index
> Fetch the complete documentation index at: https://rootea.es/llms.txt
> Use this file to discover all available pages before exploring further.

# SSRF (Server-Side Request Forgery)

> El backend hace una petición HTTP que tú controlas (parámetro url=, webhook, importador remoto).

# SSRF (Server-Side Request Forgery)

<p className="glossary-answer">El backend hace una petición HTTP que tú controlas (parámetro url=, webhook, importador remoto).</p>

**Categoría:** [Web · Vectores avanzados](/glosario)

🎯 **Trinchera** — El backend hace una petición HTTP que tú
controlas (parámetro `url=`, webhook, importador remoto). Apuntas
a IPs internas y endpoints de cloud metadata para exfiltrar
credenciales.

🔗 **Kill chain** — Endpoints clásicos:
`http://169.254.169.254/latest/meta-data/iam/security-credentials/`
(AWS), `http://metadata.google.internal/computeMetadata/v1/`
(GCP, requiere `Metadata-Flavor: Google`),
`http://169.254.169.254/metadata/instance?api-version=2021-02-01`
(Azure, requiere `Metadata: true`). De ahí: STS creds → AWS CLI →
takeover.

📡 **Huella defensiva** — Egress desde el servicio web a 169.254.\* o a
rangos RFC1918 inesperados; volumen anómalo de DNS lookups internos.

⚠️ **Falso amigo** — IMDSv2 mata SSRF clásica vía proxy reverso pero
sigue explotable si: app sigue redirects HTTP, hop-limit subido a
2 para containers, IMDSv1 habilitado en AMIs viejas.

🛡️ **Remediación** — Allowlist estricto de URLs (no blocklist),
deshabilitar redirects automáticos, usar IMDSv2 con hop-limit=1,
egress firewall rules.

***

← [Volver al glosario completo](/glosario)

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"DefinedTerm","name":"SSRF (Server-Side Request Forgery)","description":"El backend hace una petición HTTP que tú controlas (parámetro url=, webhook, importador remoto).","inDefinedTermSet":{"@type":"DefinedTermSet","name":"Glosario táctico de pentesting","url":"https://rootea.es/glosario"},"url":"https://rootea.es/glosario/ssrf-server-side-request-forgery"}`}
</script>

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://rootea.es"},{"@type":"ListItem","position":2,"name":"Glosario táctico","item":"https://rootea.es/glosario"},{"@type":"ListItem","position":3,"name":"SSRF (Server-Side Request Forgery)","item":"https://rootea.es/glosario/ssrf-server-side-request-forgery"}]}`}
</script>

*Última actualización: 2026-06-11*