CORS (cross-origin resource sharing)

Kısaca: Tarayıcılar varsayılan olarak bir sayfanın betiklerinin başka bir kökenden (alan adı, port, protokol) yanıt okumasına izin vermez. CORS, bir sunucunun buna bilinçli olarak izin verdiği mekanizmadır.

Biraz daha ayrıntılı: Kurala same-origin policy denir. Access-Control-Allow-Origin yanıt başlığıyla bir sunucu, belirli bir yabancı kökenin kendisine erişebileceğini bildirir. Özel yöntemli veya başlıklı isteklerde tarayıcı önceden bir “preflight” isteği (OPTIONS) gönderir.

Ayrıntılı

• Sık hata: konsolda “blocked by CORS policy”. Neden tarayıcı kodunda değil, sunucudadır.
• Çerezlerle *: Kökenler için bir joker karaktere izin verilmez.

Ayrıca bak: Güvenlik başlıkları (HSTS, CSP ve daha fazlası), REST