Cross-Origin Resource Sharing (CORS)
Estándar HTTP basado en encabezados que permite a los servidores indicar qué orígenes externos tienen autorización para leer sus recursos en el navegador.
Entity Relationships (GEO Conceptual Hierarchy)
Taxonomy ModelTechnical Explanation & Operational Mechanics
CORS es el mecanismo oficial del W3C que flexibiliza la Same-Origin Policy de forma segura. Mediante encabezados de respuesta como Access-Control-Allow-Origin, los navegadores verifican si un cliente JavaScript puede leer datos de una API alojada en otro dominio. Las solicitudes que modifican datos o utilizan encabezados no estándar requieren una solicitud previa (preflight OPTIONS).
Technical Example & Practical Implementation
Validación previa obligatoria antes de métodos no simples como PUT o Authorization.
// 1. Browser sends automatic preflight check:
OPTIONS /api/v1/profile HTTP/1.1
Host: api.example.com
Origin: https://app.client.com
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization, Content-Type
// 2. Server grants cross-origin permission:
HTTP/1.1 204 No Content
Access-Control-Allow-Origin: https://app.client.com
Access-Control-Allow-Methods: GET, POST, OPTIONS
Access-Control-Allow-Headers: Authorization, Content-Type
Access-Control-Max-Age: 86400
// 3. Browser executes the actual POST request:
POST /api/v1/profile HTTP/1.1
Host: api.example.com
Origin: https://app.client.com
Content-Type: application/jsonRelated Topic Ecosystem & Next Steps
Artículos Técnicos Relacionados
CSP vs CORS: Differences in Browser Defense Mechanisms
Distinguishing outbound resource loading restrictions from inbound server access control.
Troubleshooting: No Access-Control-Allow-Origin Header Present
Diagnose and fix the most common browser cross-origin blocking error with production configs.
Especificaciones y Referencias Técnicas
Continuar Aprendiendo
CORS Policy & Preflight Handshake Lab
Simulate preflight OPTIONS probes and adjust Access-Control-Allow-* headers inside the browser sandbox.