CORS

CORS (Cross-Origin Resource Sharing) est le mécanisme des navigateurs qui contrôle si une page web peut utiliser des fichiers et des données provenant d’un autre domaine que le sien. Le serveur qui héberge le fichier doit autoriser explicitement les autres sites à l’utiliser via les en-têtes HTTP CORS, sinon le navigateur bloque la requête — une cause fréquente d’échec de chargement des polices et des scripts.

CORS existe comme mesure de sécurité par défaut : sans lui, n’importe quel site pourrait lire discrètement des données depuis un autre site sur lequel le visiteur est connecté. Un en-tête CORS manquant ou mal configuré ne casse pas le fichier source lui-même, il empêche seulement d’autres origines de l’utiliser — raison pour laquelle la même police ou le même script peut très bien fonctionner sur un domaine et échouer à se charger, silencieusement, sur un autre.

En savoir plus

• Fetch : protocole CORS — la spécification du WHATWG
• En-tête HTTP