CORS

CORS (Cross-Origin Resource Sharing) est le mécanisme du navigateur qui détermine si une page Web peut utiliser des fichiers et des données provenant d’un domaine différent du sien. Le serveur qui héberge le fichier doit autoriser explicitement d’autres sites Web à l’utiliser au moyen des en-têtes HTTP CORS; sinon, le navigateur bloque la requête — une cause fréquente d’échecs de chargement des polices et des scripts.

Le CORS existe comme mesure de sécurité par défaut : sans lui, n’importe quel site Web pourrait lire discrètement des données provenant d’un autre site auquel un visiteur est connecté. L’absence d’un en-tête CORS, ou sa mauvaise configuration, ne rend pas le fichier source lui-même défectueux; elle n’affecte que la capacité des autres origines à l’utiliser — c’est pourquoi la même police ou le même script peut fonctionner correctement sur un domaine et échouer à se charger en silence sur un autre.

Pour en savoir plus

• Fetch : protocole CORS - la spécification WHATWG
• En-tête HTTP