CORS

CORS (Partage de ressource cross-origin) est un mécanisme qui consiste à transmettre des entêtes HTTP qui déterminent s'il faut ou non bloquer les requêtes à des ressources restreintes sur une page web qui se trouve sur un domaine externe au domaine dont la ressource est originaire.

La politique de sécurité de même origine interdit les requêtes d'origines différentes par défaut et ce pour des raisons de sécurité. CORS permet de contourner cette limitation en permettant au serveur d'avoir le contrôle sur les ressources partagés et offre un mécanisme sécurisé pour permettre l'échange de données qui ne partagent pas le même domaine d'origine (d'où le terme "cross-origin").

Voir aussi

Culture générale

En-têtes liés au CORS

Access-Control-Allow-Origin

Indique le ou les domaines pour lesquels la ressource peut être partagée.

Access-Control-Allow-Credentials

Indique si la réponse peut ou non être exposée si le flag est à "true".

Access-Control-Allow-Headers

Utilisé en réponse à une requête de pré-vérification pour indiquer quels sont les en-têtes qui peuvent être utilisés dans la requête courante.

Access-Control-Allow-Methods

Utilisé en réponse à une requête de pré-vérification pour indiquer quels sont les méthodes allouées pour accéder à une ressource.

Access-Control-Expose-Headers

Indique quels en-têtes peuvent être exposés dans le cadre de la réponse en énumérant leurs noms.

Access-Control-Max-Age

Indique combien de temps le résultat d'une pré-vérification peut être gardé en cache par le demandeur de la pré-vérification.

Access-Control-Request-Headers

Utilisé lors de l'émission d'une demande de contrôle en amont, pour indiquer au serveur quels en-têtes HTTP seront utilisés lors de la demande.

Access-Control-Request-Method

Utilisé lors de l'émission d'une demande de contrôle en amont permettant au serveur de savoir quelle méthode HTTP sera utilisée lors de la création de la requête.

Origin

Indique quelle est l'origine d'une récupération.

Référence technique