CORS и чтение с других origin

Чьи скрипты могут читать страницы этого сайта. Отражённый origin вместе с разрешёнными credentials даёт любой открытой посетителем странице читать сайт от его имени.

• Помощь

Браузер не даёт скрипту одного сайта читать ответы другого, если тот не разрешил это заголовками CORS. Access-Control-Allow-Origin называет, каким origin можно читать; Access-Control-Allow-Credentials: true разрешает при этом отправлять куки посетителя. При неверной настройке любой сайт может читать ваши страницы так, как их видит залогиненный посетитель: личные данные, токены, сведения об аккаунте.

Как SiteScan это проверяет

Сканер запрашивает главную с заголовком Origin выдуманного сайта и смотрит на ответ:

• зелёный «Только свой origin»: неизвестному сайту ничего не разрешено;
• жёлтый *: читать страницу может любой сайт, но без кук — нормально для публичных файлов на CDN, необычно для страницы;
• жёлтый «Любой origin (отражается)»: сервер возвращает тот origin, который спросил, — тот же wildcard, только замаскированный;
• красный: origin отражается и credentials разрешены — любая открытая посетителем страница прочитает сайт от его имени.

Как исправить

Держите явный список разрешённых origin и сверяйте с ним Origin запроса; если совпадения нет, не отправляйте ничего. Никогда не сочетайте отражённый origin с Allow-Credentials: true. Большинству страниц заголовки CORS вообще не нужны — только API, которые вызывают с других доменов. Остальные строки группы описаны на странице о заголовках безопасности.