¿Es CORS un control de seguridad que protege tu API de los atacantes?
Opciones
- Sí, bloquea a todos los clientes no autorizados
- No. Solo dice a los navegadores qué orígenes pueden leer (Opción correcta)
- Sí, cifra las respuestas que envía la API
- Sí, pero solo en las peticiones GET de la API
Respuesta
No. Solo regula qué orígenes deja un navegador leer las respuestas; los atacantes pueden llamar a tu API directamente con curl
Por qué
Las reglas CORS solo las aplican los navegadores, para proteger a los usuarios de sitios maliciosos que lean datos en su nombre.
Un atacante puede simplemente llamar a tu API con curl, Python o Postman, donde CORS no existe.
Tu API se protege con autenticación, autorización y rate limiting. Aun así conviene configurar bien CORS, para que no debilite las protecciones del navegador.
Recuerda
CORS protege a los usuarios del navegador, no a tu API.