CORS i odczyt cross-origin

Czyje skrypty mogą czytać strony tej witryny. Odbity origin przy dozwolonych credentials pozwala każdej otwartej stronie czytać tę witrynę w imieniu zalogowanego.

• Pomoc

Przeglądarka nie pozwala skryptowi jednej witryny czytać odpowiedzi innej, chyba że ta zezwoli na to nagłówkami CORS. Access-Control-Allow-Origin mówi, które originy mogą czytać; Access-Control-Allow-Credentials: true pozwala dołączyć do tego ciasteczka odwiedzającego. Źle ustawione nagłówki pozwalają dowolnej witrynie czytać twoje strony tak, jak widzi je zalogowany użytkownik: dane osobowe, tokeny, szczegóły konta.

Jak sprawdza to SiteScan

Skaner pobiera stronę główną z nagłówkiem Origin zmyślonej witryny i analizuje odpowiedź:

• zielony „Tylko własny origin”: nieznana witryna nie dostaje żadnych uprawnień;
• żółty *: każda witryna może czytać stronę, ale bez ciasteczek — normalne dla publicznych plików na CDN, nietypowe dla strony;
• żółty „Dowolny origin (odbijany)”: serwer odsyła ten origin, który zapytał, czyli zamaskowany wildcard;
• czerwony: origin jest odbijany, a credentials dozwolone — każda strona otwarta przez zalogowanego użytkownika przeczyta witrynę w jego imieniu.

Jak to naprawić

Trzymaj jawną listę dozwolonych originów i porównuj z nią Origin żądania; przy braku dopasowania nie wysyłaj nic. Nigdy nie łącz odbitego originu z Allow-Credentials: true. Większość stron w ogóle nie potrzebuje nagłówków CORS — tylko API wywoływane z innych domen. Pozostałe wiersze grupy opisuje strona o nagłówkach bezpieczeństwa.