CORS (cross-origin resource sharing)

Коротко: По умолчанию браузеры не позволяют скриптам страницы читать ответы другого источника (домена, порта, протокола). CORS — механизм, с помощью которого сервер сознательно разрешает это.

Подробнее: Правило называется same-origin policy. Заголовком ответа Access-Control-Allow-Origin сервер объявляет, что определённый чужой источник может обращаться к нему. Для запросов со специальными методами или заголовками браузер заранее отправляет «preflight»-запрос (OPTIONS).

Подробности

• Частая ошибка: «blocked by CORS policy» в консоли. Причина на стороне сервера, а не в коде браузера.
• * с cookie: подстановочный знак для источника не допускается.

См. также: заголовки безопасности (HSTS, CSP и другие), REST