¿Qué afirmación sobre CORS es correcta?
Opciones
- Protege tu API de curl y de las llamadas entre servidores
- La aplican los navegadores; el servidor lista los orígenes permitidos (Opción correcta)
- Cifra el tráfico que circula entre navegador y servidor
- Reemplaza la autenticación de la API para sitios de confianza
Respuesta
La aplican los navegadores; el servidor declara los orígenes permitidos con Access-Control-Allow-Origin
Por qué
Por defecto, los navegadores impiden que una página web lea respuestas de otro origen (dominio/puerto): es la same-origin policy.
CORS es la forma en que un servidor dice 'está bien, las páginas de https://myapp.com pueden leer mis respuestas', mediante Access-Control-Allow-Origin.
Solo la aplican los navegadores. curl, Postman u otro servidor ignoran CORS por completo, así que no es un muro de seguridad para tu API.
Recuerda
CORS es una regla del navegador, no una protección de la API.